CVE-2026-93367
Açıklama
WordPress için geliştirilen Visitors Traffic Real Time Statistics Pro eklentisinin 11.22 dahil tüm önceki sürümleri, ahcpro_track_visitor AJAX işleminin page_title parametresi üzerinden kimlik doğrulaması gerektirmeyen saklı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. İşlem, oturum açmamış çağrıcılar için kaydedilmiştir (wp_ajax_nopriv_ahcpro_track_visitor) ve $_POST['page_title'] değerini hiçbir temizleme işlemi yapmadan ham haliyle ahc_title_traffic.til_page_title sütununa kaydeder. Bir yönetici eklenti panelini açtığında, 'Traffic by Title' DataTable bileşeni bu saklanan değeri çıktı kaçışı (output escaping) yapmadan innerHTML olarak işleyerek rastgele JavaScript kodlarının çalışmasına neden olur. Bu durum, kimlik doğrulaması yapmamış saldırganların bir yöneticinin oturumunda çalışan web betikleri enjekte etmesini mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wp-buy Visitor Traffic Real Time Statistics pro | v ≤ 11.22 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.