SlimStat Analytics <= 5.3.5 - 通过 'fh' 参数实现的未经身份验证的存储型跨站脚本漏洞

攻击者可以利用此 XSS 漏洞在 SlimStat Analytics 插件的页面中注入任意 JavaScript 代码。一旦注入，这些脚本将在任何访问受影响页面的用户浏览器中执行，从而可能导致攻击者窃取用户的 Cookie、会话令牌或其他敏感信息。攻击者还可以利用此漏洞重定向用户到恶意网站，或在受害者不知情的情况下执行其他恶意操作。由于该漏洞无需身份验证，攻击者可以轻松地利用它来影响大量用户。

Websites using the SlimStat Analytics plugin, particularly those running older versions (0.0.0–5.3.5), are at risk. Shared hosting environments where plugin updates are managed by the hosting provider are also at increased risk, as users may not have direct control over plugin versions.

• wordpress / composer / npm:

grep -r 'fh=.*;' /var/www/html/wp-content/plugins/slimstat-analytics/*

• generic web:

curl -I 'https://your-wordpress-site.com/?fh=<script>alert(1)</script>' | grep 'Content-Type:'

• wordpress / composer / npm:

wp plugin list --status=active | grep slimstat-analytics

1. 2026-03-19Disclosure

   disclosure

1. 已保留2026-01-20
2. 发布日期2026-03-19
3. 修改日期2026-04-08
4. EPSS 更新日期2026-03-26

最有效的缓解措施是立即将 SlimStat Analytics 插件升级到 5.4.0 或更高版本。如果无法立即升级，可以尝试禁用 SlimStat Analytics 插件，或者限制对受影响参数 'fh' 的访问。此外，可以配置 Web 应用防火墙（WAF）来检测和阻止包含恶意脚本的请求。建议定期审查 WordPress 插件的安全性，并及时更新所有插件以修复已知的漏洞。