CVE-2026-93367
Təsvir
WordPress üçün olan Visitors Traffic Real Time Statistics Pro plagini, 11.22 versiyası daxil olmaqla bütün versiyalarda, ahcpro_track_visitor AJAX hərəkətinin page_title parametri vasitəsilə autentifikasiya olunmamış saxlanılan saytlararası skriptinq (XSS) boşluğuna malikdir. Hərəkət sistemə daxil olmamış istifadəçilər üçün qeydiyyatdan keçirilib (wp_ajax_nopriv_ahcpro_track_visitor) və $_POST['page_title'] dəyərini heç bir təmizləmə aparmadan birbaşa ahc_title_traffic.til_page_title sütununda saxlayır. Administrator plagin panelini açdıqda, 'Traffic by Title' DataTable həmin saxlanılan dəyəri çıxış filtrləməsi olmadan innerHTML kimi təqdim edir və ixtiyari JavaScript kodunu icra edir. Bu, autentifikasiya olunmamış hücumçulara administrator sessiyasında işləyən veb skriptlər yerləşdirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wp-buy Visitor Traffic Real Time Statistics pro | v ≤ 11.22 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.