CVE-2026-15399 in Animated Number Counters Plugin
الملخص
بحسب VulDB • 13/10/2026
يحتوي ملحق Animated Number Counters لـ WordPress على ثغرة حقن SQL عامة عبر المعلمة 'counterid' في جميع الإصدارات حتى 3.0 وشاملة لها، بسبب عدم كفاية الهروب (escaping) للمعلمة التي يوفرها المستخدم وعدم وجود تحضير كافٍ لاستعلام SQL الحالي. وهذا يمكّن المهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى محرر أو أعلى، من إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة مسبقًا والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. هذه ثغرة حقن SQL من الدرجة الثانية: حيث يستخدم مسار الكتابة بشكل صحيح $wpdb->prepare()، لكن هذا الإجراء الوقائي لا يتم نقله إلى مسار القراءة، حيث يتم دمج القيمة المسترجعة غير المُطَهَّاة (unsanitized) في استعلامات غير مُحضّرة ضمن سياق سلسلة محاطة بعلامة اقتباس مفردة وسياق رقمي عاري.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.