CVE-2026-101924

Nome do Software Vulnerável e Versões Afetadas NewStatPress versões anteriores a 1.4.6

Descrição Ocorre Cross-Site Scripting Armazenado através da meta box 'Last referrers' na página de administração Overview do plugin. O problema surge porque a função newstatpress generate overview lastreferrers() não escapa adequadamente a string de consulta fornecida pelo visitante e armazenada na tabela de estatísticas. Especificamente, a variável urlrequested é concatenada em um atributo href com aspas simples usando apenas FILTER SANITIZE URL, que não codifica apóstrofos. Isso permite que atacantes não autenticados injetem scripts web arbitrários que são executados quando um usuário com altos privilégios, como um administrador, acessa a página Overview e passa o mouse sobre o link injetado.

Recomendações Atualize para uma versão posterior à 1.4.5. Como medida paliativa temporária, restrinja o acesso à página de administração Overview para minimizar o risco de exploração.