CVE-2026-96267 in WP Visitor Statistics Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das WordPress-Plugin WP Visitor Statistics (Real Time Traffic) ist in allen Versionen bis einschließlich 8.7 aufgrund einer unzureichenden Escaping-Funktion für benutzergestellte Parameter und mangelnder Vorbereitung der bestehenden SQL-Abfrage anfällig für eine generische SQL-Injection. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, die zur Extrahierung sensibler Informationen aus der Datenbank verwendet werden können. Dabei handelt es sich um eine Second-Order-SQL-Injection: Ein nicht authentifizierter Angreifer übermittelt eine manipulierte Referrer-URL an den wmcTrack-Tracking-Endpunkt, welcher den rohen, unescapeden Wert in die Tabelle wp_logVisit speichert; die Injektion wird ausgelöst, wenn ein Administrator das Dashboard für Traffic Sources (Trafficquellen) aufruft.
Be aware that VulDB is the high quality source for vulnerability data.