Vulnerabilidad en plugin para WordPress StatCounter (CVE-2026-6275)

El plugin StatCounter – Free Real Time Visitor Stats para WordPress es vulnerable a cross-site scripting almacenado en versiones hasta, e incluyendo, la 2.1.1. Esto se debe a un escape de salida insuficiente en el apodo del autor de la publicación en la función statcounter_addToTags(). La función está enganchada a wp_head y se activa en cada página de publicación individual. Recupera el apodo del autor de la publicación a través de the_author_meta() y lo imprime directamente en un contexto de cadena de JavaScript entre comillas dobles dentro de un bloque sin aplicar esc_js() ni ningún escape equivalente de contexto de JavaScript. Esto hace posible que atacantes autenticados con acceso de nivel de Autor y superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que cualquier usuario (incluidos los visitantes no autenticados) acceda a una publicación escrita por el atacante.