CVE-2026-15780

Nome do Software Vulnerável e Versões Afetadas WP Statistics versões anteriores a 14.16.9

Descrição A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting. Invasores podem injetar scripts web arbitrários que são executados quando um usuário acessa uma página afetada. A injeção é possível através do endpoint REST /wp-statistics/v2/hit, onde um parâmetro POST page uri codificado em base64 substitui o REQUEST URI sanitizado, permitindo que um valor utm campaign malicioso ignore as verificações de segurança e seja armazenado no banco de dados. Isso é facilitado pelo fato de que a assinatura necessária está exposta na página inicial pública.

Recomendações Atualize para uma versão posterior à 14.16.8. Restrinja o acesso ao endpoint REST /wp-statistics/v2/hit para minimizar o risco de exploração.