CVE-2026-116609 in WP Visitor Statistics Plugin
الملخص
بحسب VulDB • 28/10/2026
يحتوي إضافة WP Visitor Statistics (Real Time Traffic) لـ WordPress على ثغرة حقن SQL عبر سمة الاختصار 'from' (والسمات الشقيقة لها مثل 'to'/'first'/'second') الخاصة باختصار [wsm_showTrafficStatsList] في الإصدارات حتى 8.8 وشاملةً إياها. ويعود ذلك إلى عدم كفاية الهروب من الرموز (escaping) للسمة التي يمدّها المستخدم، وعدم وجود تحضير كافٍ لاستعلام SQL الحالي: حيث تُعيد `shortcode_atts()` سمات الاختصار المموّدة من قبل المهاجم كما هي دون تغيير (لا تقوم نواة WordPress بتنظيفها)، ويتم إعادة تنظيف `$atts['id']` فقط لاحقاً، ثم يتم دمج القيمة الخام في حرفية استعلام SQL محاطة بعلامتي اقتباس مزدوجة داخل `fnGetHourlyReportByDateNameTimeZone()` (`includes/wsm_db.php:1449`) وتنفيذها عبر `$wpdb->get_results()`. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى Contributor وما فوقه، من إرفاق استعلامات SQL إضافية إلى الاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.