CVE-2026-95809
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Opti-Behavior dla WordPressa (wersje do 1.9.2.1 włącznie) jest podatna na przechowywany DOM-based XSS przez parametr 'country_name' w lokalizacji. Brak wystarczającej sanityzacji i escapowania danych wyjściowych pozwala nieuwierzytelnionemu atakującemu wstrzyknąć złośliwe skrypty, które wykonają się u użytkownika odwiedzającego stronę. Endpoint nagrywania heatmap przyjmuje nieuwierzytelnione żądania chronione tylko przez nonce, który każdy odwiedzający może uzyskać publicznie.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub przejęcia konta. Ryzyko jest wysokie, ponieważ nonce jest publicznie dostępny.
Rekomendacja
Zaktualizuj wtyczkę Opti-Behavior do wersji nowszej niż 1.9.2.1. Ogranicz dostęp do endpointu nagrywania heatmap lub wyłącz go, jeśli nie jest używany.
Inne podatności w Opti-Behavior WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via 'country_name' Location Parameter in all versions up to, and including, 1.9.2.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The heatmap recording endpoint accepts unauthenticated requests protected only by a nonce that any visitor can freely obtain via the public opti_behavior_refresh_nonces AJAX action, removing any practical barrier to injecting the malicious payload.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS