CVE-2026-15388
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Cookie Consent przed wersją 0.0.10 nie egzekwuje poprawnie kontroli uprawnień administratora w trasach REST dotyczących ustawień zgody, co powoduje, że wymagane jest tylko uwierzytelnienie. Każdy zalogowany użytkownik, np. subskrybent, może aktualizować ustawienia zgody, a na stronach połączonych z płatnym planem dostawcy czytać zapisane logi zgód odwiedzających.
Ocena ryzyka
Naruszenie prywatności i integralności ustawień zgody. Użytkownicy o niskich uprawnieniach mogą modyfikować konfigurację i uzyskać dostęp do wrażliwych danych odwiedzających.
Rekomendacja
Zaktualizuj wtyczkę Cookie Consent do wersji 0.0.10 lub nowszej. Sprawdź, czy trasy REST wymagają odpowiednich uprawnień administratora.
Oryginalny opis (angielski, źródło NVD)
The Cookie Consent WordPress plugin before 0.0.10 does not correctly enforce its intended administrator-only capability check on its consent-settings REST routes, so they fall back to an authentication-only gate, allowing any authenticated user such as a subscriber to update the Cookie Consent WordPress plugin before 0.0.10's consent settings and, on sites connected to the vendor's paid plan, read stored visitor consent logs.