CVE-2026-116609 in WP Visitor Statistics Plugin
要約
〜によって VulDB • 2026年10月28日
WordPress用プラグイン「WP Visitor Statistics (Real Time Traffic)」には、バージョン8.8以前においてSQLインジェクションの脆弱性が存在します。これは、[wsm_showTrafficStatsList]ショートコードの'from'（および兄弟属性である'to'/'first'/'second'）ショートコード属性を介して発生します。この問題は、ユーザー入力の属性に対するエスケープ処理の不十分さと、既存SQLクエリにおける準備文（prepared statement）の使用不足に起因します。具体的には、`shortcode_atts()`は攻撃者が指定したショートコード属性をそのまま返すため（WordPressコア側ではサニタイズが行われず）、その後 `$atts['id']` のみが再サニタイズされますが、生値は `fnGetHourlyReportByDateNameTimeZone()` 内の二重引用符で囲まれたSQL文字列リテラルに連結され (`includes/wsm_db.php:1449`) 、`$wpdb->get_results()` を介して実行されます。これにより、Contributorレベル以上の権限を持つ認証済み攻撃者は、既存のクエリに対して追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.