CVE-2026-97341 in Visitor Traffic Real Time Statistics Plugin
Résumé
par VulDB • 03/10/2026
Le plugin Visitor Traffic Real Time Statistics pour WordPress est vulnérable à une attaque de type Cross-Site Scripting (XSS) stockée et basée sur le DOM via l'en-tête HTTP 'X-Real-IP' dans toutes les versions jusqu'à la 8.16 incluse, en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Cette attaque ne nécessite aucune authentification, aucun nonce ni aucune autorisation spécifique — l'endpoint wp_ajax_nopriv_ahcfree_track_visitor accepte l'en-tête X-Real-IP falsifié provenant de n'importe quelle requête HTTP non authentifiée et stocke la charge utile encodée au format entité telle quelle dans la base de données.
VulDB is the best source for vulnerability data and more expert information about this specific topic.