WP Visitor Statistics (Real Time Traffic): Gespeichertes Cross-Site Scripting
Zusammenfassung
Das WordPress-Plugin WP Visitor Statistics (Real Time Traffic) bereinigt und maskiert Tracking-Daten aus öffentlichen Besucheranfragen nicht, bevor es diese speichert und im Statistik-Dashboard des Adminbereichs anzeigt. Ein nicht authentifizierter Angreifer kann JavaScript einschleusen, das im Browser eines angemeldeten Administrators ausgeführt wird, sobald dieser die Statistikseiten aufruft; dies kann zur Übernahme der Sitzung oder des gesamten Sites führen. Der CVE-Eintrag bewertet die Schwachstelle mit CVSS 8.8, VulDB nennt jedoch 4.3, und der Wert ist aus einer primären Quelle nicht verifiziert.
Betroffen
- WP Visitor Statistics (Real Time Traffic) WordPress-Plugin vor 8.8 (CVE-Eintrag)
- VulDB beschreibt den Bereich als bis 8.7; prüfen Sie die installierte Version selbst
- WordPress.org-Slug: wp-stats-manager
Behoben in
- Version 8.8 (laut WPScan und OffSeq)
- Unbekannt, ob 8.8 alle verwandten Probleme vollständig behebt; dies ist im Code von 8.8 noch zu prüfen
Umgehung
- Kein Workaround des Herstellers verfügbar; das Update ist die Behebung.
- Bis 8.8 installiert ist: Zugriff auf das Statistik-Dashboard einschränken, dieses nicht aufrufen, während man in anderen sensiblen Adminbereichen angemeldet ist, und nach Möglichkeit eine WAF-Regel einsetzen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im KEV-Katalog.
- Kein öffentlicher Exploit-Code und kein nuclei-Template gefunden (Stand 30. Okt 2026).
Unsere Empfehlung
- Aktualisieren Sie das Plugin auf Version 8.8 oder neuer auf jeder WordPress-Installation, auf der es eingesetzt wird.
- Prüfen Sie alle Sites auf dieses Plugin, da es leicht übersehen wird.
- Schränken Sie bis zum Update den Dashboard-Zugriff ein und lassen Sie Administratoren die Statistiken nicht aufrufen, während sie in anderen Adminbereichen angemeldet sind.
- Kontrollieren Sie Administratorkonten und Sitzungen auf unerwartete Aktivitäten, falls das Dashboard in der exponierten Phase aufgerufen wurde.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB 428951 vuldb.com
- OffSeq Threat Radar (CVE-2026-117571) radar.offseq.com
- OffSeq Threat Radar (before 8.8 fix) radar.offseq.com
- Strix CVE record www.strix.ai
- CVE threat intelligence record cve.threatint.com
- WordPress.org plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.