CVE-2026-96267 in WP Visitor Statistics Plugin
الملخص
بحسب VulDB • 03/10/2026
يحتوي إضافة WP Visitor Statistics (Real Time Traffic) لـ WordPress على ثغرة حقن SQL عامة عبر المعلمة 'fullRef' في جميع الإصدارات حتى 8.7 وشاملة لها، بسبب عدم كفاية الهروب من الأحرف الخاصة (escaping) للمعلمة التي يوفرها المستخدم وعدم وجود تحضير كافٍ للاستعلامات SQL الموجودة. وهذا يمكّن المهاجمين غير المصادق عليهم من إضافة استعلامات SQL إضافية إلى الاستعلامات القائمة والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات. هذه ثغرة حقن SQL من الدرجة الثانية: حيث يقدم مهاجم غير مصادق عليه عنوان URL للمرجع (referrer) مُعدّ بعناية إلى نقطة النهاية wmcTrack للتتبع، مما يؤدي إلى حفظ القيمة الخام غير المهروبة في جدول wp_logVisit، وتُفعّل الثغرة عندما يعرض مسؤول لوحة معلومات مصادر حركة المرور (Traffic Sources) للمرة التالية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.