漏洞速览
- 漏洞编号：
CVE-2026-93367 - 风险评分：
7.2（高危） - 首次披露：2026-10-01
- 最近更新：2026-10-01
- 软件类型：插件
- 软件标识：
visitors-traffic-real-time-statistics-pro - 受影响版本：<= 11.22
- 修复版本：11.23
- 是否已修复：是
漏洞详情
WordPress 插件 "Visitors Traffic Real Time Statistics Pro" 在 11.22 及之前所有版本中存在一处未授权存储型 XSS 漏洞。 漏洞源于 ahcpro_track_visitor 这一 AJAX Action（注册为 wp_ajax_nopriv_ahcpro_track_visitor，允许未登录用户调用），该接口直接接收 $_POST['page_title'] 参数并以原始形式存入 ahc_title_traffic 表的 til_page_title 字段，全程未做任何过滤或消毒。
当管理员打开该插件的仪表盘时，"Traffic by Title" DataTable 会将这条存储值以 innerHTML 方式渲染到页面，完全绕过转义，从而执行攻击者注入的任意 JavaScript 代码。 这意味着未授权攻击者可利用此漏洞在管理员会话中注入并执行 Web 脚本。
影响与风险
- 漏洞类型：Unauthenticated Stored Cross-Site Scripting via ahcpro_track_visitor (page_title)
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Rafie Muhammad – Awesome Motive, Inc.
修复建议
- 按官方建议执行修复：更新至 11.23 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
