CVE-2026-96267

Nome do Software Vulnerável e Versões Afetadas WP Visitor Statistics (Real Time Traffic) versões anteriores a 8.8

Descrição Um invasor não autenticado pode realizar uma injeção de SQL de segunda ordem ao enviar uma URL de referência manipulada para o endpoint de rastreamento 'wmcTrack'. A aplicação não escapa adequadamente o parâmetro fullRef e carece de preparação suficiente da consulta SQL, permitindo que o valor bruto seja armazenado na tabela wp logVisit. A injeção é acionada quando um administrador visualiza o painel de Fontes de Tráfego, possibilitando a extração de informações sensíveis do banco de dados.

Recomendações Atualize o WP Visitor Statistics (Real Time Traffic) para a versão 8.8 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao painel de Fontes de Tráfego para usuários administradores até que a atualização seja aplicada.