CVE-2026-95686
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Opti-Behavior dla WordPressa (wersje do 1.9.2.1 włącznie) jest podatna na przechowywany DOM-based XSS przez parametr 'targetUrl'. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Endpoint ingest jest chroniony tylko przez nonce publicznie emitowany do każdego anonimowego odwiedzającego.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta. Ryzyko jest wysokie, ponieważ nonce jest publicznie dostępny.
Rekomendacja
Zaktualizuj wtyczkę Opti-Behavior do wersji nowszej niż 1.9.2.1. Ogranicz dostęp do endpointu ingest lub wyłącz go, jeśli nie jest używany.
Inne podatności w Opti-Behavior WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'targetUrl' parameter in all versions up to, and including, 1.9.2.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The ingest endpoint is gated only by a nonce that is publicly emitted to every anonymous visitor on tracked pages via optiBehaviorHeatmapConfig.nonce, meaning no account or authentication of any kind is required to write the malicious payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS