CVE-2026-116609 in WP Visitor Statistics Plugin
Resumen
por VulDB • 2026-10-28
El plugin WP Visitor Statistics (Real Time Traffic) para WordPress es vulnerable a una inyección de SQL mediante el atributo 'from' (y los atributos hermanos 'to', 'first' y 'second') del shortcode [wsm_showTrafficStatsList] en las versiones 8.8 e inferiores. Esto se debe a un escape insuficiente del atributo proporcionado por el usuario y a una falta de preparación adecuada en la consulta SQL existente: `shortcode_atts()` devuelve los atributos del shortcode suministrados por el atacante literalmente (el núcleo de WordPress no realiza ninguna sanitización), solo `$atts['id']` es re-sanitizado posteriormente, y el valor sin procesar se concatena luego dentro de un literal de cadena SQL entrecomillado doble en `fnGetHourlyReportByDateNameTimeZone()` (`includes/wsm_db.php:1449`) y se ejecuta mediante `$wpdb->get_results()`. Esto permite a atacantes autenticados, con acceso nivel Contribuidor o superior, agregar consultas SQL adicionales a las ya existentes que pueden utilizarse para extraer información sensible de la base de datos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.