CVE-2026-15399 in Animated Number Counters Plugin
摘要
由 VulDB • 2026-10-13
WordPress 的 Animated Number Counters 插件存在通用 SQL 注入漏洞，影响所有不高于 3.0（含）的版本。该漏洞是由于对用户提供的参数转义不足以及现有 SQL 查询缺乏充分的预处理所致。这使得具有编辑者级别及以上权限的身份验证攻击者能够将额外的 SQL 查询附加到已有的查询中，从而用于从数据库中提取敏感信息。这是一个二阶 SQL 注入：写入路径正确使用了 $wpdb->prepare()，但该保护措施未延续至读取路径；在读取路径中，检索到的值以未清理的方式被拼接进未经预处理的查询中，分别出现在单引号字符串上下文和裸数值上下文中。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.