CVE-2026-82185
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie posiada kontroli uprawnień ani nonce na niektórych akcjach testów A/B, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na nadpisanie konfiguracji banera cookie widocznego dla każdego odwiedzającego oraz na nieodwracalne zresetowanie zapisanych wyników testów A/B.
Ocena ryzyka
Atakujący może zmienić konfigurację banera cookie, co może naruszyć zgodność z przepisami o prywatności, oraz zniszczyć dane testów A/B, co wpływa na integralność decyzji marketingowych.
Rekomendacja
Zaktualizuj wtyczkę WPLP Cookie Consent do wersji 4.4.2 lub nowszej, która zawiera poprawki kontroli dostępu i nonce.
Inne podatności w WPLP Cookie Consent
Zobacz wszystkie- CVE-2026-75865Krytyczne
Wtyczka WPLP Cookie Consent dla WordPressa do wersji 4.4.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typu pliku w funkcji saas_upload_logo() oraz obejścia autoryzacji w punktach końcowych REST WPLP. Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-85131Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.4 nie wykonuje kontroli CSRF ani uprawnień podczas przetwarzania akcji masowych na ekranach administracyjnych i nie ogranicza docelowych elementów do własnych rekordów. Umożliwia to atakującym nakłonienie zalogowanego administratora do trwałego usunięcia dowolnych wpisów i stron za pomocą spreparowanego żądania.
- CVE-2026-14989Wysokie
Wtyczka Cookie Banner for GDPR / CCPA – WPLP Cookie Consent dla WordPressa do wersji 4.4.1 włącznie jest podatna na Stored Cross-Site Scripting przez parametr 'wpl_user_preference' z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-82184Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie posiada żadnych kontroli autoryzacji ani CSRF podczas zapisywania stanu zgody odwiedzającego, a kod wykonujący tę operację działa przy każdym ładowaniu strony front-end, co pozwala nieuwierzytelnionym atakującym na nadpisanie opcji całej witryny dowolnymi danymi.
- CVE-2026-82186Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nieprawidłowo waliduje parametr paginacji przed użyciem go w zapytaniu SQL, co umożliwia użytkownikom z uprawnieniami administratora przeprowadzanie ataków SQL injection.
- CVE-2026-14475Średnie
Wtyczka Cookie Banner dla GDPR/CCPA – WPLP Cookie Consent dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 'scan_id' we wszystkich wersjach do 4.3.6 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących.
- CVE-2026-12920Średnie
Wtyczka Cookie Banner for GDPR / CCPA – WPLP Cookie Consent dla WordPressa jest podatna na ogólną iniekcję SQL przez parametr 's' we wszystkich wersjach do 4.3.5 włącznie. Podatność wynika z niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może prowadzić do wycieku wrażliwych danych z bazy.
Oryginalny opis (angielski, źródło NVD)
The WPLP Cookie Consent WordPress plugin before 4.4.2 does not have capability or nonce checks on some of its A/B testing actions, allowing any authenticated user, such as a subscriber, to overwrite the cookie banner configuration shown to every visitor and to irreversibly reset the stored A/B test results.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS