CVE-2026-15399 in Animated Number Counters Plugin
要約
〜によって VulDB • 2026年10月13日
WordPress用プラグイン「Animated Number Counters」は、3.0（およびそれ以前の全バージョン）において、「counterid」パラメータ経由で汎用的なSQLインジェクションの脆弱性があります。これは、ユーザー入力のエスケープが不十分であり、既存のSQLクエリに対する適切な準備処理が行われていないためです。これにより、編集者レベル以上の権限を持つ認証済み攻撃者は、追加のSQLクエリを既存のクエリに付加し、データベースから機密情報を抽出することが可能になります。これはセカンダリオ（二次的）なSQLインジェクションです：書き込みパスでは正しく $wpdb->prepare() が使用されていますが、その保護は読み取りパスには引き継がれていません。取得された値は、シングルクォート文字列のコンテキストおよび裸の数値のコンテキストの両方で、サニタイズ処理されずに未準備のクエリに連結されます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.