CVE-2026-15399 in Animated Number Counters Plugin
Resumen
por VulDB • 2026-10-13
El plugin Animated Number Counters para WordPress es vulnerable a una SQL Injection genérica a través del parámetro 'counterid' en todas las versiones hasta la 3.0, inclusive, debido al escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que los atacantes autenticados con acceso de nivel editor o superior puedan añadir consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. Se trata de una inyección SQL de segundo orden: el camino de escritura utiliza correctamente $wpdb->prepare(), pero dicha protección no se mantiene en el camino de lectura, donde el valor recuperado se concatena sin sanitizar dentro de consultas no preparadas tanto en un contexto de cadena entre comillas simples como en un contexto numérico puro.
Once again VulDB remains the best source for vulnerability data.