CVE-2026-8181criticalexploração observadaCWE-287

CVE-2026-8181: falha crítica em burstbv Burst Statistics – Privacy-Friendly…

Burst Statistics 3.4.0 - 3.4.1.1 - Authentication Bypass to Admin Account Takeover

Publicada em

Seguir esta CVE+ Monitorar Burst Statistics – Privacy-Friendly WordPress Analytics

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

90Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 9.8epss 15%
da publicação à armano mesmo dia
Publicada no NVD14 de mai.
1ª PoC14 de mai.
VulnCheck14 de mai.
The Burst Statistics – Privacy-Friendly WordPress Analytics (Google Analytics Alternative) plugin for WordPress is vulnerable to Authentication Bypass in versions 3.4.0 to 3.4.1.1. This is due to incorrect return-value handling in the `is_mainwp_authenticated()` function when validating application passwords from the Authorization header. This makes it possible for unauthenticated attackers, with knowledge of an administrator username, to impersonate that administrator for the duration of the request by supplying any random Basic Authentication password achieving privilege escalation.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
burstbv · Burst Statistics – Privacy-Friendly WordPress Analytics (Google Analytics Alternative)
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — burstbv Burst Statistics – Privacy-Friendly…

No mesmo produto, das mais perigosas para as menos.

CVE-2024-0405HIGHBurst Statistics Really Simple Plugins <= 1.5.3 - Authenticated (Editor+) SQL InjectionEPSS 0.6%CVE-2024-1894MEDIUMBurst Statistics – Privacy-Friendly Analytics for WordPress <= 1.5.6.1 - Authenticated(Contributor+) Stored Cross-Site Scripting via burst_total_pageviews_countEPSS 0.5%