CVE-2026-109688
KrytyczneCVSS 9.3Streszczenie
W wtyczce Link Whisper Free (link-whisper) do wersji 0.9.7 występuje podatność Blind SQL Injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Ocena ryzyka
Atakujący może wykonać ślepe zapytania SQL, co może prowadzić do wycieku danych z bazy poprzez wnioskowanie na podstawie odpowiedzi.
Rekomendacja
Zaktualizuj wtyczkę Link Whisper Free do wersji nowszej niż 0.9.7.
Inne podatności w Link Whisper Free
Zobacz wszystkie- CVE-2026-109685Wysokie
Wtyczka Link Whisper Free w wersjach do 0.9.7 zawiera podatność typu Reflected XSS wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-57333Wysokie
Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-109686Krytyczne
Wtyczka Link Whisper Free do WordPressa w wersjach do 0.9.7 zawiera podatność deserializacji niezaufanych danych, która umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Problem występuje w mechanizmie przetwarzania danych wejściowych wtyczki.
- CVE-2026-109687Wysokie
Podatność typu Blind SQL Injection we wtyczce Link Whisper Free. Brak neutralizacji specjalnych elementów w poleceniu SQL pozwala na ślepe wstrzyknięcie SQL.
- CVE-2026-14601Średnie
Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.
- CVE-2025-11262Wysokie
Wtyczka Link Whisper Free dla WordPress do wersji 0.9.0 włącznie zawiera podatność na przechowywany atak XSS przez parametr user_id. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
- CVE-2025-62970Średnie
Wtyczka Link Whisper Free firmy Spencer Haws zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.9.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in Link Whisper INC Link Whisper Free link-whisper allows Blind SQL Injection.This issue affects Link Whisper Free: from n/a through 0.9.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS