CVE-2026-97343

Nome do Software Vulnerável e Versões Afetadas Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative) versões anteriores a 3.7.2

Descrição Uma autenticação inadequada permite a persistência de conta. O manipulador maybe load shared dashboard() emite um cookie de sessão genuíno do WordPress para a conta burst statistics viewer para visitantes que apresentem um token de compartilhamento válido via wp set auth cookie(). Como o plugin não restringe o endpoint de atualização de senha /wp-json/wp/v2/users/me nem filtra a capacidade edit user para essa conta, invasores não autenticados com um burst share token válido podem definir uma senha personalizada para a conta burst statistics viewer. Isso resulta em um controle permanente da conta de privilégios limitados que persiste mesmo após a revogação do token de compartilhamento, expiração ou a execução da função cleanup viewer sessions().

Recomendações Atualize o Burst Statistics – Simple WordPress Analytics (Google Analytics Alternative) para a versão 3.7.2 ou posterior.