В популярном плагине WP Statistics для WordPress обнаружена уязвимость, позволяющая злоумышленнику внедрить вредоносный код в один из параметров запроса. 

WP Statistics - плагин, имеет более 300 000 установок и предназначен для остлеживания статистики посещений сайта. Уязвимость плагина возможна из-за недостаточной фильтрации входящих данных поступающих в функциию wp_statistics_searchengine_query().

Это приводит к тому, что любой пользователь, даже не прошедший проверку подлинности, может с помощью специально сформированного SQL-запроса выполнить произвольные действия в базе уязвимого приложения.

Пример эксплуатации:

$result = $wpdb->query( "SELECT * FROM '($tablename)' WHERE 'last_counter' = '{WP_Statistics-> Current_Date( 'Y-m-d' )}' AND {$search_query}");

Использование Web Application Firewall позволяет блокировать подобные атаки.