SlimStat Analytics <= 5.3.5 - Cross-Site Scripting Stocké Non Authentifié via 'fh'

L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant d'exécuter du code JavaScript malveillant dans le contexte du navigateur de l'utilisateur. Cela peut conduire au vol de cookies de session, à la redirection vers des sites malveillants, ou à la modification du contenu de la page web. Un attaquant pourrait également utiliser cette vulnérabilité pour lancer des attaques de phishing ciblées contre les utilisateurs du site. La surface d'attaque est étendue car la vulnérabilité est présente dans toutes les versions affectées et ne nécessite pas d'authentification préalable.

Websites using the SlimStat Analytics plugin, particularly those running older versions (0.0.0–5.3.5), are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also at increased risk, as users may not have direct control over plugin versions.

• wordpress / composer / npm:

grep -r 'fh=.*;' /var/www/html/wp-content/plugins/slimstat-analytics/*

• generic web:

curl -I 'https://your-wordpress-site.com/?fh=<script>alert(1)</script>' | grep 'Content-Type:'

• wordpress / composer / npm:

wp plugin list --status=active | grep slimstat-analytics

1. 2026-03-19Disclosure

   disclosure

1. Réservé2026-01-20
2. Publiée2026-03-19
3. Modifiée2026-04-08
4. EPSS mis à jour2026-03-26

La mitigation immédiate consiste à mettre à jour le plugin SlimStat Analytics vers la version 5.4.0 ou supérieure. Si la mise à jour n'est pas possible immédiatement, envisagez de désactiver temporairement le plugin. En attendant, une solution de contournement potentielle pourrait consister à implémenter des règles WAF (Web Application Firewall) pour bloquer les requêtes contenant des charges utiles XSS suspectes dans le paramètre 'fh'. Vérifiez après la mise à jour que le plugin fonctionne correctement et qu'aucune erreur ne se produit.

Installations actives

80KPopulaire

Note du plugin