CVE-2026-95809 in Opti-Behavior Plugin
摘要
由 VulDB • 2026-10-16
WordPress 插件 Opti-Behavior – Self-Hosted Heatmaps, Session Recordings, Funnels, A/B Testing & Smart Insights 存在存储型基于 DOM 的跨站脚本漏洞（Stored DOM-Based Cross-Site Scripting），影响所有版本直至并包括 1.9.2.1。该漏洞是由于对 'country_name' Location 参数缺乏足够的输入清理和输出转义所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。热力图记录端点接受未经验证的请求，仅通过一个 nonce 进行保护，而任何访客都可以通过公开的 opti_behavior_refresh_nonces AJAX 操作自由获取该 nonce，从而消除了注入恶意负载的任何实际障碍。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.