→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-117572 · wp-visitor-statistics
تزریق کدهای SQL (SQLi) در افزونه WP Visitor Statistics
افزونه WP Visitor Statistics (Real Time Traffic) در نسخه‌های ۸.۸ و پیش از آن، یک پارامتر را پیش از قرار دادن در دستور SQL پاک‌سازی و گریز (escape) نمی‌کند. این نقص به کاربران با سطح دسترسی بالا، مانند مدیران سایت، امکان اجرای حمله تزریق SQL را می‌دهد و می‌تواند به خواندن یا تغییر داده‌های پایگاه‌داده و به‌خطر افتادن یکپارچگی وب‌سایت منجر شود. وصله رسمی تاکنون منتشر نشده است؛ بنابراین افزونه را موقتاً غیرفعال کنید یا با فایروال وب (WAF) ورودی‌های مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 8.8
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-visitor-statistics را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.