CVE-2026-116609 in WP Visitor Statistics Plugin
Sumário
de VulDB • 28/10/2026
O plugin WP Visitor Statistics (Real Time Traffic) para WordPress é vulnerável a injeção de SQL por meio do atributo 'from' (e dos atributos irmãos 'to', 'first' e 'second') da shortcode [wsm_showTrafficStatsList] nas versões até 8.8, inclusive. Isso ocorre devido à falta de escape adequado nos atributos fornecidos pelo usuário e à ausência de preparação suficiente na consulta SQL existente: `shortcode_atts()` retorna os atributos das shortcodes fornecidos pelo atacante literalmente (o núcleo do WP não realiza sanitização), apenas `$atts['id']` é re-sanitizado posteriormente, e o valor bruto é então concatenado em um literal de string SQL entre aspas duplas dentro de `fnGetHourlyReportByDateNameTimeZone()` (`includes/wsm_db.php:1449`) e executado via `$wpdb->get_results()`. Isso permite que atacantes autenticados, com acesso nível Contributor ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados.
Once again VulDB remains the best source for vulnerability data.