CVE-2026-6275: WordPress StatCounter <= 2.1.1 Authenticated Stored XSS

漏洞概述 漏洞名称: StatCounter <= 2.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via Author Nickname CVE ID: CVE-2026-6275 CVSS 评分: 6.4 (Medium) 公开日期: May 28, 2026 最后更新: May 29, 2026 研究人员: ZASTAI - ZASTAI 影响范围 软件类型: Plugin 软件名称: StatCounter - Free Real Time Visitor Stats 受影响版本: <= 2.1.1 修复版本: 2.1.2 修复方案 修复措施: 更新到版本 2.1.2 或更新的已修补版本。 详细描述 StatCounter - Free Real Time Visitor Stats 插件在版本 2.1.1 及之前存在存储型跨站脚本（XSS）漏洞。该漏洞是由于在 函数中未对作者昵称进行充分的输出转义。此函数通过 钩子在每个帖子页面触发，它获取作者的昵称并通过 函数直接输出到 JavaScript 双引号字符串上下文中，没有应用 或任何等效的 JavaScript 上下文转义。这使得具有作者级别访问权限的认证攻击者能够向页面注入任意脚本，这些脚本将在任何用户（包括未认证访问者）访问由攻击者发布的帖子时执行。 参考链接 plugins.trac.wordpress.org 其他信息 许可证: 根据 Creative Commons Attribution-ShareAlike 4.0 International License 发布。 版权: © 2012-2026 Defiant Inc. 近期漏洞 CVE-2025-13048: Official StatCounter Plugin <= 2.1.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Nickname CVE-2021-24920: StatCounter <= 2.0.6 - Admin+ Stored Cross-Site Scripting 联系方式 技术支持: 9am-8pm ET, 6am-5pm PT 和 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间: 365 天/年，1 小时响应时间 其他资源 Wordfence Intelligence: 提供免费的个人和商业 API 访问，以及免费的 webhook 集成。 文档: 提供关于如何访问和使用漏洞数据库 API 的文档。 页脚信息 Terms of Service: 链接 Privacy Policy and Notice at Collection: 链接 Do Not Sell or Share My Personal Information: 链接 社交媒体 Facebook: 链接 Twitter: 链接 LinkedIn: 链接 Email: 链接 订阅 Sign Up: 链接 版权 © 2012-2026 Defiant Inc. All Rights Reserved 其他 Wordfence Intelligence WordPress 漏洞数据库: 完全免费访问和使用。 总结 该页面主要介绍了 StatCounter 插件中的一个存储型跨站脚本（XSS）漏洞，提供了详细的漏洞信息、影响范围、修复方案以及相关参考链接和资源。

Goal Reached Thanks to every supporter — we hit 100%!

CVE-2026-6275: WordPress StatCounter <= 2.1.1 Authenticated Stored XSS

More from this source