CVE-2025-11262
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Link Whisper Free dla WordPress do wersji 0.9.0 włącznie zawiera podatność na przechowywany atak XSS przez parametr user_id. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do kradzieży sesji, przekierowań na phishingowe strony lub defacementu witryny. Ryzyko jest wysokie, ponieważ atak nie wymaga uwierzytelnienia, a skrypt wykonuje się przy każdym odświeżeniu strony.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Link Whisper Free do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę do czasu wydania łatki.
Inne podatności w Link Whisper Free
Zobacz wszystkie- CVE-2026-57333Wysokie
Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-14601Średnie
Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.
Oryginalny opis (angielski, źródło NVD)
The Link Whisper Free plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the user_id parameter in all versions up to, and including, 0.9.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.