CVE-2026-101924 Cross-site scripting almacenado en NewStatPress vía atributo 'urlrequested' de la query string

Qué es CVE-2026-101924

El plugin NewStatPress para WordPress es vulnerable a cross-site scripting almacenado en versiones hasta la 1.4.5 inclusive a través del metabox 'Last referrers' de la página de administración Overview. La función newstatpress_generate_overview_lastreferrers() concatena el valor urlrequested almacenado en un atributo href entre comillas simples tras solo FILTER_SANITIZE_URL, que no codifica el apóstrofo. Atacantes no autenticados pueden inyectar scripts que se ejecutan cuando un administrador accede a la página y…

Productos y versiones afectadas

• ice00 NewStatPress

  • hasta 1.4.5

Qué hacer

1. Verificá si usás NewStatPress y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.2 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The NewStatPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 1.4.5 via the 'Last referrers' meta box on the plugin's Overview admin page. This is due to insufficient output escaping of the visitor-supplied query string that the plugin records in its statistics table: the newstatpress_generate_overview_lastreferrers() function concatenates the stored urlrequested value into a single-quoted href attribute after only FILTER_SANITIZE_URL, which does not encode the apostrophe. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a high-privileged user, such as an administrator, accesses the Overview page and hovers the injected link.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/234d79fc-5f00-457d-a693-ad3f6d38447b?so…
• plugins.trac.wordpress.org/browser/newstatpress/tags/1.4.5/includes/nsp-overview.php#L320
• plugins.trac.wordpress.org/browser/newstatpress/tags/1.4.5/newstatpress.php#L839
• plugins.trac.wordpress.org/browser/newstatpress/tags/1.4.5/newstatpress.php#L1447

Historial de la alerta

1. 14 OCT · 02:58VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.