CVE-2026-93367

Nome do Software Vulnerável e Versões Afetadas Visitors Traffic Real Time Statistics Pro versões anteriores a 11.23

Description Ocorre Cross-Site Scripting (XSS) armazenado não autenticado quando o plugin falha ao sanitizar o parâmetro page title na ação AJAX ahcpro track visitor. Esta ação está acessível a usuários não logados via wp ajax nopriv ahcpro track visitor, permitindo que a entrada bruta seja armazenada no banco de dados. Quando um administrador acessa o painel do plugin, a DataTable 'Traffic by Title' renderiza esse valor armazenado como innerHTML sem a devida filtragem de saída, permitindo a execução de JavaScript arbitrário na sessão do administrador.

Recommendations Atualize para uma versão posterior a 11.22. Como medida paliativa temporária, restrinja o acesso à ação AJAX ahcpro track visitor para evitar que usuários não autenticados enviem dados através do parâmetro page title.