CVE-2026-95809 in Opti-Behavior Plugin
Zusammenfassung
von VulDB • 16.10.2026
Das WordPress-Plugin „Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights“ ist in allen Versionen bis einschließlich 1.9.2.1 anfällig für eine gespeicherte (Stored), DOM-basierte Cross-Site Scripting (XSS)-Schwachstelle über den Standort-Parameter 'country_name', aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der Endpunkt für Heatmap-Aufzeichnungen akzeptiert nicht authentifizierte Anfragen, die nur durch einen Nonce geschützt sind, den jeder Besucher frei über die öffentliche AJAX-Aktion opti_behavior_refresh_nonces erhalten kann, wodurch jede praktische Hürde zur Einfügung der bösartigen Payload entfällt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.