Link Whisper Free: Blind SQL-Injection in WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Link Whisper Free, das der internen Verlinkung dient, enthält in den Versionen bis und mit 0.9.7 eine Blind SQL-Injection. Gemäss CNA-Vektor sind keine Berechtigungen nötig, weshalb ein nicht angemeldeter Angreifer auf einer aus dem Internet erreichbaren Website über die Zeit Datenbankinhalte wie Benutzerkonten und private Daten extrahieren könnte. Der CVSS-Wert ist 9.3 (kritisch) gemäss CNA; die NVD-Analyse ist noch ausstehend und andere Quellen nennen tiefere Werte. Zum Zeitpunkt der Recherche wurde weder ein öffentlicher Proof of Concept noch eine aktive Ausnutzung gefunden.
Betroffen
- Link Whisper Free Plugin für WordPress, Versionen bis und mit 0.9.7
- Hersteller: Link Whisper INC (als Autor wird Spencer Haws angegeben)
- Pro-/Premium-Versionen: nicht geprüft
Behoben in
- Version 0.9.8 oder neuer (gemäss WordPress.org-Eintrag; kein Herstellerhinweis und kein Changelog-Eintrag zu dieser CVE gefunden)
Umgehung
- Kein Workaround des Herstellers gefunden.
- Falls das Update verzögert wird, das Plugin deaktivieren, sofern es nicht essenziell ist.
- Konten mit Editor-Berechtigungen einschränken und überprüfen.
- WAF-Regeln in Betracht ziehen (allgemeine Empfehlung, keine Herstellerangabe).
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden; nicht in der CISA-KEV-Liste.
- CISA SSVC: Ausnutzung none, automatisierbar yes.
- Öffentlicher PoC: keiner gefunden (VulDB: kein Exploit verfügbar).
- EPSS: 0.00236 laut einem Aggregator (tiefe kurzfristige Ausnutzungswahrscheinlichkeit).
Unsere Empfehlung
- Websites mit Link Whisper Free inventarisieren und die installierte Version prüfen.
- Auf Version 0.9.8 oder neuer aktualisieren oder das Plugin bis zum Update deaktivieren.
- Administrator- und Editor-Konten überprüfen, starke Passwörter und MFA durchsetzen.
- Web-Server- und Datenbank-Logs auf ungewöhnliche Anfragen an das Plugin und Anzeichen von Datenabfluss prüfen.
- Die Seiten von Patchstack und dem Hersteller auf die Veröffentlichung des Advisory und allfällige PoCs überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-109688 app.opencve.io
- INCIBE-CERT alert www.incibe.es
- WordPress.org plugin listing (Link Whisper) wordpress.org
- VulDB entry 420630 vuldb.com
- Offseq threat radar radar.offseq.com
- Threatint CVE record cve.threatint.com
- Vulners CNNVD record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.