芹苴市一名信息安全专业大四学生阮志庆（Nguyễn Chí Khanh，2004年生，金瓯省人）在阅读WordPress插件源代码时，发现其中存在将数据直接带入数据库查询、未经必要安全处理的代码段。他自行搭建测试环境进行验证，确认一处SQL注入漏洞，随后以同样方式又找出三处同类漏洞。
这些发现通过Patchstack的漏洞赏金计划上报。Patchstack是专注WordPress生态安全研究的机构。经其核验，其中三处漏洞获得国际CVE编号，可供安全社区统一查询和引用。三处漏洞分别记录在WordPress的两款插件WP w3all phpBB和WP BASE Booking上：WP w3all phpBB的漏洞于8月20日公布，WP BASE Booking的两处漏洞于10月5日公布。
据阮志庆提供的评估结果，WP BASE Booking上的CVE-2026-103352漏洞评分为9.3分（满分10分），属于严重级别，且攻击者无需登录即可利用。另外两处漏洞评分为8.5分，需持有Subscriber级别账号才能利用；该级别在WordPress中权限较低，通常仅允许登录和管理个人信息，因此允许用户自行注册账号的网站仍可能存在风险。第四处漏洞于10月13日获得确认。
阮志庆从今年7月左右开始研究WordPress插件，主要选择自己最熟悉的PHP语言编写的源代码。他发现的漏洞均属于查询结果不直接显示在网页上的类型，需通过间接迹象证明漏洞真实存在。每处漏洞从发现异常迹象到验证可利用性，约需1至2天，最耗时的是构建清晰的复现步骤，以便接收方独立核验。
除上述漏洞外，阮志庆曾在2023年和2024年获得F-Hacker竞赛第二名，并多次获得学校优秀学生称号。尽管尚未毕业，他已从事约一年的企业渗透测试工作。芹苴FPT大学信息安全教育讲师阮明哲（Nguyễn Minh Triết）评价说，阮志庆在课堂成绩上并非最突出，但实践能力强，能完成并非所有学生都能做的工作；接触实际环境，尤其在实习阶段，有助于他朝自己喜欢的专业方向发展。阮志庆表示希望继续从事渗透测试和安全研究，并在学习和工作之余通过专业项目持续查找、上报漏洞。
越南中文社
