CVE-2026-109686
KrytyczneCVSS 9.8Streszczenie
Wtyczka Link Whisper Free do WordPressa w wersjach do 0.9.7 zawiera podatność deserializacji niezaufanych danych, która umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Problem występuje w mechanizmie przetwarzania danych wejściowych wtyczki.
Ocena ryzyka
Atakujący może wykorzystać podatność do wstrzyknięcia złośliwych obiektów, co może prowadzić do wykonania dowolnego kodu lub przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaktualizuj wtyczkę Link Whisper Free do najnowszej wersji (powyżej 0.9.7), która naprawia tę podatność.
Inne podatności w Link Whisper Free
Zobacz wszystkie- CVE-2026-109685Wysokie
Wtyczka Link Whisper Free w wersjach do 0.9.7 zawiera podatność typu Reflected XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-57333Wysokie
Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-109688Krytyczne
W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
- CVE-2026-109687Wysokie
Podatność typu Blind SQL Injection we wtyczce Link Whisper Free. Brak neutralizacji specjalnych elementów w poleceniu SQL pozwala na ślepe wstrzyknięcie SQL.
- CVE-2026-14601Średnie
Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.
- CVE-2025-11262Wysokie
Wtyczka Link Whisper Free dla WordPress do wersji 0.9.0 włącznie zawiera podatność na przechowywany atak XSS przez parametr user_id. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
- CVE-2025-62970Średnie
Wtyczka Link Whisper Free firmy Spencer Haws zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.9.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Link Whisper INC Link Whisper Free link-whisper allows Object Injection.This issue affects Link Whisper Free: from n/a through 0.9.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS