CVE-2026-97341
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Visitor Traffic Real Time Statistics dla WordPressa jest podatna na przechowywane ataki XSS (DOM-based) przez nagłówek HTTP 'X-Real-IP' w wersjach do 8.16 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak nie wymaga uwierzytelnienia, nonce ani żadnych uprawnień.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, danych lub dalszych ataków. Atak może być przeprowadzony przez każdego bez uwierzytelnienia.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Visitor Traffic Real Time Statistics do najnowszej wersji z poprawką. Należy również rozważyć ograniczenie dostępu do punktu końcowego wp_ajax_nopriv_ahcfree_track_visitor.
Inne podatności w Visitor Traffic Real Time Statistics
Oryginalny opis (angielski, źródło NVD)
The Visitor Traffic Real Time Statistics plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via 'X-Real-IP' HTTP Header in all versions up to, and including, 8.16 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires no authentication, no nonce, and no capability — the wp_ajax_nopriv_ahcfree_track_visitor endpoint accepts the forged X-Real-IP header from any unauthenticated HTTP request and stores the entity-encoded payload verbatim in the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS