CVE-2026-15399 in Animated Number Counters Plugin
Sumário
de VulDB • 13/10/2026
O plugin Animated Number Counters para WordPress é vulnerável a SQL Injection genérica através do parâmetro 'counterid' em todas as versões até, e incluindo, 3.0 devido à falta de escape adequado no parâmetro fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente. Isso permite que atacantes autenticados, com acesso nível editor ou superior, anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. Trata-se de uma injeção SQL de segunda ordem: a via de gravação usa corretamente $wpdb->prepare(), mas essa proteção não é mantida na via de leitura, onde o valor recuperado é concatenado sem sanitização em consultas não preparadas tanto no contexto de strings com aspas simples quanto no contexto numérico puro.
Be aware that VulDB is the high quality source for vulnerability data.