Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-109687 là lỗ hổng Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') ảnh hưởng tới Link Whisper Free. Lỗ hổng này được xếp hạng ở mức Cao, với điểm CVSS 7.6. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Lỗ hổng Neutralization không đúng cách đối với các phần tử đặc biệt được sử dụng trong một câu lệnh SQL ('SQL Injection') trong Link Whisper INC Link Whisper Free link-whisper cho phép Blind SQL Injection. Vấn đề này ảnh hưởng đến Link Whisper Free: từ n/a đến 0.9.7.
link-whisper: bị ảnh hưởng từ 0 đến 0.9.7, bao gồm các bản phát hành không vượt quá 0.9.7.0.9.8 được đánh dấu là không bị ảnh hưởng trong dữ liệu affected.Link Whisper INC Link Whisper Free chứa lỗi CWE-89, trong đó các phần tử đặc biệt dùng trong câu lệnh SQL không được vô hiệu hóa đúng cách. CNA mô tả lỗi này là Blind SQL Injection, cho phép dữ liệu từ truy vấn SQL được suy luận thông qua hành vi phản hồi mà không cần hiển thị trực tiếp kết quả. Bản ghi cho biết lỗi có thể bị truy cập qua mạng và yêu cầu tài khoản có quyền Editor; không cần người dùng khác tương tác. Gói bị ảnh hưởng là link-whisper. Tham số, endpoint, câu truy vấn và đường đi chính xác của dữ liệu đầu vào chưa được công bố, nên chi tiết triển khai này vẫn chưa rõ.
Hồ sơ tấn công được ghi nhận là qua mạng, độ phức tạp thấp, yêu cầu quyền cao và không cần user interaction. Patchstack xác định quyền Editor là quyền cần thiết để khai thác. Bản ghi được cung cấp đánh dấu chưa có public exploit, còn phần làm giàu dữ liệu của CISA ghi nhận trạng thái exploitation là none; điều này phản ánh bằng chứng hiện có, không chứng minh rằng việc lạm dụng là không thể. Không có campaign, nạn nhân, payload hoặc indicator cụ thể nào được xác định.
Lỗi cho phép một kẻ tấn công từ xa có quyền Editor thực hiện Blind SQL Injection thông qua chức năng có thể truy cập của plugin. Hậu quả được ghi nhận tập trung vào tính bí mật của dữ liệu, với khả năng ảnh hưởng hạn chế đến tính sẵn sàng và không được mô tả là làm thay đổi tính toàn vẹn dữ liệu. Phạm vi được đánh dấu là changed, nhưng tài liệu công khai không giải thích ranh giới bảo mật cụ thể đã bị vượt qua. Không có bằng chứng trong bản ghi cho thấy đã xảy ra breach, mất dữ liệu hoặc thay đổi dữ liệu.
Các tổ chức sử dụng plugin bị ảnh hưởng có thể đối mặt với nguy cơ lộ dữ liệu trong cơ sở dữ liệu WordPress nếu kẻ tấn công đã có quyền Editor phù hợp. Hậu quả thực tế phụ thuộc vào quyền của tài khoản cơ sở dữ liệu, dữ liệu mà plugin có thể truy cập và cách endpoint bị lỗi được triển khai, những chi tiết này chưa được công bố. Bản ghi mô tả tác động bảo mật dữ liệu ở mức cao và khả năng ảnh hưởng tính sẵn sàng ở mức thấp, nhưng không xác nhận việc dữ liệu đã bị truy cập hoặc hệ thống đã bị xâm nhập. Nếu phát hiện hoạt động bất thường, tổ chức nên đánh giá log và phạm vi dữ liệu có thể đã bị truy vấn.
0.9.8.link-whisper, bao gồm các site do hosting hoặc đơn vị vận hành bên ngoài quản lý.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
