یک آسیب‌پذیری امنیتی با شدت High در افزونه WP Visitor Statistics (Real Time Traffic) برای سیستم مدیریت محتوای وردپرس شناسایی شده است که با شناسه CVE-2026-96267 ثبت شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی از نوع SQL Injection است و در تمامی نسخه‌های این افزونه تا نسخه 8.7 مشاهده شده است. ریشه این مشکل به عدم پاک‌سازی (Escaping) مناسب پارامترهای ورودی توسط کاربر و نبود آماده‌سازی (Preparation) کافی در کوئری‌های SQL موجود بازمی‌گردد.
تاثیر و نحوه بهره‌برداری
- پارامتر آسیب‌پذیر: این نقص از طریق پارامتر
fullRefقابل تحریک است. - دسترسی مهاجم: مهاجمان Unauthenticated (بدون نیاز به احراز هویت) می‌توانند از این طریق کوئری‌های SQL اضافی را به دستورات موجود الحاق کنند.
- پیامد: این وضعیت به مهاجم اجازه می‌دهد تا اطلاعات حساس را از پایگاه داده (Database) استخراج نماید.
