CVE-2026-2936

WysokieCVSS 7.2

Opublikowano: 04/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka Visitor Traffic Real Time Statistics dla WordPressa do wersji 8.4 zawiera podatność na przechowywany XSS poprzez parametr 'page_title'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator wejdzie w sekcję Traffic by Title.

Ocena ryzyka

Atakujący może wykraść sesje administratora lub przekierować go na złośliwe strony, co może prowadzić do przejęcia panelu administracyjnego.

Rekomendacja

Należy zaktualizować wtyczkę do najnowszej wersji, która zawiera poprawki zabezpieczające przed XSS.

Inne podatności w Visitor Traffic Real Time Statistics

CVE-2026-97341Wysokie
Wtyczka Visitor Traffic Real Time Statistics dla WordPressa jest podatna na przechowywane ataki XSS (DOM-based) przez nagłówek HTTP 'X-Real-IP' w wersjach do 8.16 włącznie. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Atak nie wymaga uwierzytelnienia, nonce ani żadnych uprawnień.

Oryginalny opis (angielski, źródło NVD)

The Visitor Traffic Real Time Statistics plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'page_title' parameter in all versions up to, and including, 8.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever an admin user accesses the Traffic by Title section.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS