文件sql注入漏洞 shopex_SQL注入漏洞已在WP Statistics插件中发现

WP统计是最流行的WordPress插件之一，安装在30万个网站上。该插件使WordPress管理员能够跟踪WordPress站点的统计信息，而不依赖于外部服务，并尽可能使用arrogate数据来尊重用户的隐私。

Sucuri 研究人员发现了WP Statistics插件中的SQL注入漏洞，攻击者可能会利用该漏洞窃取数据库，并可能远程劫持易受攻击的网站。

SQL注入是一种代码注入方法，用于攻击数据驱动的应用程序。此漏洞允许黑客提交精心设计的输入以干扰应用程序与后端数据库的交互。黑客可能能够从应用程序获取任意数据，干扰其逻辑，或者在数据库服务器本身上执行命令。在这里阅读更多关于SQL注入。

“这个漏洞是由于用户提供的数据没有杀毒造成的。至少有一个订阅帐户的攻击者可能会泄漏敏感数据，而在正确的环境/配置下可能会损害您的WordPress安装。“

“由于核心功能wp_ajax_parse_media_shortcode（）），文件”includes / functions / functions.php“中的一个易受攻击的函数wp_statistics_searchengine_query（）可以通过WordPress的AJAX功能访问。

“此功能不检查其他权限，允许订阅者执行此短代码并将恶意数据注入其属性。“

所以，如果你仍然运行一个易受攻击的WordPress插件版本（WP Statistics），你应该尽快更新你的插件。