Visitor Traffic Real Time Statistics <= 8.4 - 認証されていないStored Cross-Site Scripting

このXSS脆弱性は、攻撃者がWordPressサイトの管理者権限を悪用する可能性を秘めています。攻撃者は、Traffic by Titleセクションにアクセスする管理者を欺き、悪意のあるJavaScriptコードを実行させることができます。これにより、攻撃者はセッションCookieを盗み、管理者の権限で任意の操作を実行したり、サイトのコンテンツを改ざんしたり、ユーザーを悪意のあるサイトにリダイレクトしたりする可能性があります。この脆弱性は、WordPressサイトのセキュリティを著しく損なうリスクがあります。

WordPress websites utilizing the Visitor Traffic Real Time Statistics plugin, particularly those running older versions (0.0.0–8.4), are at risk. Sites with limited security monitoring and those where administrators frequently access the Traffic by Title section are especially vulnerable.

• wordpress / composer / npm:

grep -r "page_title'" /var/www/html/wp-content/plugins/visitor-traffic-real-time-statistics/

• wordpress / composer / npm:

wp plugin list --status=active | grep 'visitor-traffic-real-time-statistics'

• wordpress / composer / npm:

wp plugin update visitor-traffic-real-time-statistics --all

1. 2026-04-04Disclosure

   disclosure

1. 予約済み2026-02-21
2. 公開日2026-04-04
3. 更新日2026-04-08
4. EPSS 更新日2026-04-11

この脆弱性への対応として、まずVisitor Traffic Real Time Statisticsプラグインをバージョン8.5にアップデートすることを強く推奨します。アップデートできない場合は、WAF（Web Application Firewall）を導入し、'page_title'パラメータに対する入力検証ルールを追加することで、XSS攻撃を軽減できます。また、WordPressのセキュリティプラグインを活用し、入力サニタイズ機能を強化することも有効です。アップデート後、Traffic by Titleセクションにアクセスし、正常に動作することを確認してください。

アクティブインストール数

30K既知

プラグイン評価