CVE-2026-109230

Nome do Software Vulnerável e Versões Afetadas WP Visitor Statistics (Real Time Traffic) versões anteriores a 8.7.2

Descrição A sanitização insuficiente de entrada e a falta de escape de saída permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro browser ao enviar uma requisição HTTP não autenticada para o endpoint público de rastreamento de visitantes 'wmcAction=wmcTrack'. O script injetado é executado no navegador de um administrador autenticado quando o jqPlot PieRenderer integrado insere o rótulo da série decodificado de HTML diretamente como HTML.

Recomendações Atualize o WP Visitor Statistics (Real Time Traffic) para a versão 8.7.2 ou posterior. Evite usar o parâmetro browser no endpoint 'wmcAction=wmcTrack' até que a atualização seja aplicada.