WP Visitor Statistics (Real Time Traffic) pour WordPress présente une XSS stockée via le paramètre « browser », dans toutes les versions jusqu’à 8.7.1 incluse. Un attaquant non authentifié peut enregistrer la charge par le point de suivi public ; celle-ci s’exécute dans le navigateur d’un administrateur lorsque le libellé est rendu dans le graphique concerné.
Source : NVD — CVE-2026-109230
Analyse technique
Le libellé enregistré est décodé puis inséré comme HTML par le PieRenderer jqPlot fourni avec le plugin, dans l’interface consultée par l’administrateur.
Impact, versions et correctif
Détection / vérification
Vérifier la version installée de WP Visitor Statistics (Real Time Traffic), notamment si elle est antérieure ou égale à 8.7.1.
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou restreindre l’accès à son endpoint de suivi.
Sources
Priorisation DFS : P3 · 1 source(s).