CVE-2025-11263
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Link Whisper Free dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr type we wszystkich wersjach do 0.8.8 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.
Ocena ryzyka
Nieuwierzytelniony atakujący może nakłonić użytkownika do kliknięcia specjalnie spreparowanego linku, co prowadzi do wykonania złośliwego kodu w przeglądarce ofiary i potencjalnej kradzieży danych sesyjnych.
Rekomendacja
Zaktualizuj wtyczkę Link Whisper Free do wersji nowszej niż 0.8.8 lub ją usuń, jeśli nie jest używana. Dodatkowo edukuj użytkowników w zakresie nieklikania w podejrzane linki.
Inne podatności w Link Whisper Free
Zobacz wszystkie- CVE-2026-109688Krytyczne
W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
- CVE-2026-109686Krytyczne
Wtyczka Link Whisper Free do WordPressa w wersjach do 0.9.7 zawiera podatność deserializacji niezaufanych danych, która umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Problem występuje w mechanizmie przetwarzania danych wejściowych wtyczki.
- CVE-2026-109685Wysokie
Wtyczka Link Whisper Free w wersjach do 0.9.7 zawiera podatność typu Reflected XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-109687Wysokie
Podatność typu Blind SQL Injection we wtyczce Link Whisper Free. Brak neutralizacji specjalnych elementów w poleceniu SQL pozwala na ślepe wstrzyknięcie SQL.
- CVE-2026-14601Średnie
Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.
- CVE-2026-57333Wysokie
Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2025-11262Wysokie
Wtyczka Link Whisper Free dla WordPress do wersji 0.9.0 włącznie zawiera podatność na przechowywany atak XSS przez parametr user_id. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
- CVE-2025-62970Średnie
Wtyczka Link Whisper Free firmy Spencer Haws zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.9.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Link Whisper Free plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the type parameter in all versions up to, and including, 0.8.8 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS