CVE-2026-15399 in Animated Number Counters Plugin
Сводка
по VulDB • 13.10.2026
Плагин Animated Number Counters для WordPress уязвим к generic SQL Injection через параметр 'counterid' во всех версиях вплоть до 3.0 включительно из-за недостаточной экранизации пользовательских параметров и отсутствия достаточной подготовки (preparation) существующего SQL-запроса. Это позволяет атакующим с уровнем доступа редактора и выше, прошедшим аутентификацию, добавлять дополнительные SQL-запросы к уже существующим запросам, что может быть использовано для извлечения конфиденциальной информации из базы данных. Это уязвимость второго порядка (second-order SQL injection): путь записи корректно использует $wpdb->prepare(), однако эта защита не применяется в пути чтения, где полученное значение конкатенируется без санитизации в неподготовленные запросы как в контексте строки с одинарными кавычками, так и в чистом числовом контексте.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.