CVE-2026-14601
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Link Whisper Free dla WordPressa przed wersją 0.9.7 nieprawidłowo sanityzuje i nie ucieka parametru przed użyciem go w zapytaniu SQL, co pozwala uwierzytelnionym użytkownikom z rolą Redaktora lub wyższą na przeprowadzanie ataków SQL injection.
Ocena ryzyka
Uwierzytelnieni użytkownicy z podwyższonymi uprawnieniami mogą manipulować zapytaniami do bazy danych, co może prowadzić do wycieku danych, ich modyfikacji lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę Link Whisper Free do najnowszej wersji, która zawiera poprawkę sanityzacji. Ogranicz role użytkowników, którzy mają dostęp do funkcji wtyczki.
Inne podatności w Link Whisper Free
Zobacz wszystkie- CVE-2026-57333Wysokie
Wtyczka Link Whisper Free w wersji 0.9.4 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-109687Wysokie
Podatność typu Blind SQL Injection we wtyczce Link Whisper Free. Brak neutralizacji specjalnych elementów w poleceniu SQL pozwala na ślepe wstrzyknięcie SQL.
- CVE-2025-11262Wysokie
Wtyczka Link Whisper Free dla WordPress do wersji 0.9.0 włącznie zawiera podatność na przechowywany atak XSS przez parametr user_id. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnego skryptu, który wykona się przy każdej wizycie użytkownika na zainfekowanej stronie.
- CVE-2025-62970Średnie
Wtyczka Link Whisper Free firmy Spencer Haws zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 0.9.2 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Link Whisper Free WordPress plugin before 0.9.7 does not properly sanitize and escape a parameter before using it in a SQL query, allowing authenticated users with the Editor role or above to perform SQL injection attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS