CVE-2026-8181criticalexplotación observadaCWE-287

CVE-2026-8181: fallo crítico en burstbv Burst Statistics – Privacy-Friendly…

Burst Statistics 3.4.0 - 3.4.1.1 - Authentication Bypass to Admin Account Takeover

Publicada el

Seguir esta CVE+ Monitorear Burst Statistics – Privacy-Friendly WordPress Analytics

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

90Vexday Risk Score

Corrige ahora. Ella explotación observada por VulnCheck y tiene exploit funcional público.

ssvc Actcvss 9.8epss 15%
de la publicación al armael mismo día
Publicada en NVD14 may
1ª PoC14 may
VulnCheck14 may
The Burst Statistics – Privacy-Friendly WordPress Analytics (Google Analytics Alternative) plugin for WordPress is vulnerable to Authentication Bypass in versions 3.4.0 to 3.4.1.1. This is due to incorrect return-value handling in the `is_mainwp_authenticated()` function when validating application passwords from the Authorization header. This makes it possible for unauthenticated attackers, with knowledge of an administrator username, to impersonate that administrator for the duration of the request by supplying any random Basic Authentication password achieving privilege escalation.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
burstbv · Burst Statistics – Privacy-Friendly WordPress Analytics (Google Analytics Alternative)
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — burstbv Burst Statistics – Privacy-Friendly…

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-0405HIGHBurst Statistics Really Simple Plugins <= 1.5.3 - Authenticated (Editor+) SQL InjectionEPSS 0.6%CVE-2024-1894MEDIUMBurst Statistics – Privacy-Friendly Analytics for WordPress <= 1.5.6.1 - Authenticated(Contributor+) Stored Cross-Site Scripting via burst_total_pageviews_countEPSS 0.5%