CVE-2026-85130
NieznaneStreszczenie
Wtyczka WPLP Cookie Consent do WordPressa przed wersją 4.4.4 nie escapuje wartości przesyłanej przez publiczny punkt końcowy w kontekście JavaScript, w którym jest później wyświetlana na ekranie administracyjnym. Umożliwia to nieuwierzytelnionym użytkownikom uruchamianie dowolnego JavaScriptu w sesji administratora, który wejdzie w interakcję z zalogowanym wpisem. Dotyczy tylko instalacji wielostanowiskowych.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w kontekście sesji administratora, co może prowadzić do przejęcia konta administratora lub wykonania nieautoryzowanych działań w panelu administracyjnym.
Rekomendacja
Zaktualizuj wtyczkę WPLP Cookie Consent do wersji 4.4.4 lub nowszej. Ogranicz dostęp do publicznych punktów końcowych i regularnie przeglądaj logi administracyjne pod kątem podejrzanych wpisów.
Inne podatności w WPLP Cookie Consent WordPress plugin
Zobacz wszystkie- CVE-2026-85133Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w kilku akcjach AJAX ustawień, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt i zniszczenie danych skanowania należących do administratora oraz nadpisanie zapisanej konfiguracji wtyczki.
- CVE-2026-85132Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w jednej z akcji AJAX skanera plików cookie, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt harmonogramu automatycznego skanowania skonfigurowanego przez administratora.
Oryginalny opis (angielski, źródło NVD)
The WPLP Cookie Consent WordPress plugin before 4.4.4 does not escape a value submitted through a public endpoint for the JavaScript context it is later output in on an administrative screen, allowing unauthenticated users to run arbitrary JavaScript in the session of an administrator who interacts with the logged entry. Only multisite installations are affected.