CVE-2026-117571

WysokieCVSS 8.8

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje danych śledzących pochodzących z publicznych żądań odwiedzających przed ich zapisaniem i wyświetleniem w panelu statystyk administracyjnych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonują się, gdy zalogowany administrator przegląda strony statystyk.

Ocena ryzyka

Atakujący bez uwierzytelnienia może wykonać złośliwy skrypt w przeglądarce administratora, co grozi przejęciem sesji administracyjnej i pełną kontrolą nad witryną.

Rekomendacja

Zaktualizuj wtyczkę WP Visitor Statistics do wersji 8.8 lub nowszej. Rozważ ograniczenie dostępu do panelu statystyk do zaufanych adresów IP.

Inne podatności w WP Visitor Statistics (Real Time Traffic) WordPress plugin

CVE-2026-117572Średnie
Wtyczka WordPress WP Visitor Statistics (Real Time Traffic) przed wersją 8.8 nie sanityzuje ani nie escapuje parametru przed użyciem go w zapytaniu SQL. Pozwala to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, na przeprowadzanie ataków SQL injection.

Oryginalny opis (angielski, źródło NVD)

The WP Visitor Statistics (Real Time Traffic) WordPress plugin before 8.8 does not sanitize and escape tracking data derived from public visitor requests before storing it and outputting it in the administrative statistics dashboard, allowing unauthenticated attackers to inject arbitrary web scripts that execute when a logged-in administrator views the statistics pages.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS