CVE-2026-97341 in Visitor Traffic Real Time Statistics Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das WordPress-Plugin "Visitor Traffic Real Time Statistics" ist in allen Versionen bis einschließlich 8.16 anfällig für eine gespeicherte, DOM-basierte Cross-Site Scripting (XSS)-Schwachstelle über den 'X-Real-IP'-HTTP-Header aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dafür ist keine Authentifizierung, kein Nonce und keine spezielle Berechtigung erforderlich – der Endpunkt wp_ajax_nopriv_ahcfree_track_visitor akzeptiert den gefälschten X-Real-IP-Header von jeder nicht authentifizierten HTTP-Anfrage und speichert das entity-kodierte Payload unverändert in der Datenbank.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.