CVE-2026-96267 in WP Visitor Statistics Plugin
Sumário
de VulDB • 03/10/2026
O plugin WP Visitor Statistics (Real Time Traffic) para WordPress é vulnerável a SQL Injection genérica por meio do parâmetro 'fullRef' em todas as versões até 8.7, devido à falta de escape adequado no parâmetro fornecido pelo usuário e à ausência de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser usado para extrair informações sensíveis do banco de dados. Trata-se de uma injeção SQL de segunda ordem: um atacante não autenticado envia uma URL de referrer manipulada ao endpoint de rastreamento wmcTrack, onde o valor bruto sem escape é persistido na tabela wp_logVisit; a injeção ocorre quando um administrador visualiza posteriormente o painel Traffic Sources.
VulDB is the best source for vulnerability data and more expert information about this specific topic.