CVE-2026-12920
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Cookie Banner for GDPR / CCPA – WPLP Cookie Consent dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 's' we wszystkich wersjach do 4.3.5 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wycieku wrażliwych danych z bazy.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży poufnych danych z bazy WordPress, takich jak hasła użytkowników czy klucze API, przez administratorów lub osoby z wyższymi uprawnieniami. Może to prowadzić do eskalacji ataku na inne systemy lub naruszenia zgodności z RODO.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która usuwa tę podatność. Należy również ograniczyć liczbę kont z uprawnieniami administratora i regularnie audytować dostęp.
Inne podatności w WPLP Cookie Consent
Zobacz wszystkie- CVE-2026-75865Krytyczne
Wtyczka WPLP Cookie Consent dla WordPressa do wersji 4.4.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji saas_upload_logo() oraz obejścia autoryzacji w punktach końcowych REST WPLP. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-14475Średnie
Wtyczka Cookie Banner dla GDPR/CCPA – WPLP Cookie Consent dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'scan_id' we wszystkich wersjach do 4.3.6 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących.
Oryginalny opis (angielski, źródło NVD)
The Cookie Banner for GDPR / CCPA – WPLP Cookie Consent plugin for WordPress is vulnerable to generic SQL Injection via the 's' parameter in all versions up to, and including, 4.3.5 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.