CVE-2026-96267 in WP Visitor Statistics Plugin
Сводка
по VulDB • 03.10.2026
Плагин WP Visitor Statistics (Real Time Traffic) для WordPress уязвим к generic SQL Injection через параметр 'fullRef' во всех версиях вплоть до 8.7 включительно из-за недостаточного экранирования пользовательского ввода и отсутствия достаточной подготовки существующего SQL-запроса. Это позволяет неавторизованным злоумышленникам добавлять дополнительные SQL-запросы в уже существующие запросы, что может быть использовано для извлечения конфиденциальной информации из базы данных. Это уязвимость второго порядка (second-order SQL injection): неавторизованный злоумышленник отправляет специально сформированный URL реферера на конечную точку отслеживания wmcTrack, которая сохраняет необработанные данные без экранирования в таблицу wp_logVisit, а инъекция активируется, когда администратор в следующий раз открывает панель управления Traffic Sources.
Once again VulDB remains the best source for vulnerability data.