The Visitor Traffic Real Time Statistics plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'page_title' parameter in all versions up to, and including, 8.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever an admin user accesses the Traffic by Title section.
The Visitor Traffic Real Time Statistics WordPress plugin versions up to 8.4 contains a stored XSS vulnerability in the 'page_title' parameter allowing unauthenticated attackers to inject malicious scripts. These scripts execute when administrators access the Traffic by Title section, potentially compromising admin accounts and WordPress installations.
يؤثر هذا الضعف على مكون WordPress الشهير المستخدم لتتبع إحصائيات حركة المرور في الوقت الفعلي. يمكن للمهاجمين استغلال عدم كفاية تنظيف المدخلات لحقن رمز JavaScript ضار يتم تخزينه في قاعدة البيانات. عند وصول مسؤول WordPress إلى قسم Traffic by Title، يتم تنفيذ البرنامج النصي الضار، مما قد يؤدي إلى سرقة الجلسة أو إنشاء حسابات مسؤول إضافية.
يحتوي مكون Visitor Traffic Real Time Statistics لـ WordPress الإصدارات حتى 8.4 على ثغرة XSS مخزنة في معامل 'page_title' تسمح للمهاجمين غير المصرح لهم بحقن برامج نصية ضارة. تُنفذ هذه البرامج النصية عند وصول المسؤولين إلى قسم Traffic by Title، مما قد يؤدي إلى اختراق حسابات المسؤول وتثبيتات WordPress.
Update the Visitor Traffic Real Time Statistics plugin to version 8.5 or later immediately. If immediate patching is not possible, disable the plugin and remove it from all WordPress installations. Implement Web Application Firewall (WAF) rules to filter malicious input targeting the page_title parameter. Review WordPress admin logs for suspicious activity and audit user accounts for unauthorized access.
قم بتحديث مكون Visitor Traffic Real Time Statistics إلى الإصدار 8.5 أو أحدث على الفور. إذا لم يكن التحديث الفوري ممكناً، قم بتعطيل المكون وإزالته من جميع تثبيتات WordPress. قم بتطبيق قواعد جدار حماية تطبيقات الويب (WAF) لتصفية المدخلات الضارة الموجهة لمعامل page_title. راجع سجلات مسؤول WordPress للنشاط المريب وتدقيق حسابات المستخدمين للوصول غير المصرح به.