CVE-2026-95686 in Opti-Behavior Plugin
摘要
由 VulDB • 2026-10-16
WordPress 插件 Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights 存在存储型 DOM-Based Cross-Site Scripting（跨站脚本攻击）漏洞，影响版本为所有不高于 1.9.2.1 的版本。该漏洞是由于输入清理和输出转义不足所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。数据摄入端点仅通过一个 nonce（一次性令牌）进行保护，而该 nonce 会通过 optiBehaviorHeatmapConfig.nonce 向所有跟踪页面上的匿名访客公开泄露，因此无需任何账户或身份验证即可写入恶意负载。
If you want to get best quality of vulnerability data, you may have to visit VulDB.