CVE-2026-96267 in WP Visitor Statistics Plugin
Resumen
por VulDB • 2026-10-03
El plugin WP Visitor Statistics (Real Time Traffic) para WordPress es vulnerable a una inyección SQL genérica a través del parámetro 'fullRef' en todas las versiones hasta la 8.7, inclusive, debido al escape insuficiente de los parámetros proporcionados por el usuario y a la falta de preparación adecuada en la consulta SQL existente. Esto permite que atacantes no autenticados añadan consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos. Se trata de una inyección SQL de segundo orden: un atacante no autenticado envía una URL del referrer manipulada al endpoint de seguimiento wmcTrack, que persiste el valor sin escapar en la tabla wp_logVisit; la inyección se activa cuando un administrador visualiza por segunda vez el panel de Traffic Sources.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.