CVE-2021-24750

高公開済み

WP Visitor Statistics (Real Time Traffic) < 4.8 - Subscriber+ SQLインジェクション

公開済み: 2021/12/21
更新済み: 2024/08/03
CNA の割り当て: WPScan
観察された証拠: 2022/01/05

プライマリ CVSS

8.8/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

38.3%

中 · 今後 30 日間

パーセンタイル: 98.5%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

4.8 より前の WP Visitor Statistics (Real Time Traffic) WordPress プラグインは、refDetails AJAX アクションの refUrl を適切にサニタイズおよびエスケープしていません。このアクションは認証済みの任意のユーザーが利用できるため、購読者 (subscriber) といった低い権限のユーザーでも SQL インジェクション攻撃を実行できる可能性があります。

ソース

CVE-2021-24750エクスプロイト
WP Visitor Statisticsプラグインのエクスプロイトのデモンストレーション
Exploitsエクスプロイト
私 (Hacker5preme) が開発したエクスプロイトの全コレクション
WordPress Plugin WP Visitor Statistics 4.7 - SQL Injectionエクスプロイト
Ron Jost · php · 2022/01/05

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。