CVE-2026-85132
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w jednej z akcji AJAX skanera plików cookie, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt harmonogramu automatycznego skanowania skonfigurowanego przez administratora.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać informacje o harmonogramie skanowania, co może ujawnić szczegóły konfiguracji i potencjalnie pomóc w dalszych atakach.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.4.2 lub nowszej, która naprawia ten problem.
Inne podatności w WPLP Cookie Consent WordPress plugin
Zobacz wszystkie- CVE-2026-85130Nieznane
Wtyczka WPLP Cookie Consent do WordPressa przed wersją 4.4.4 nie escapuje wartości przesyłanej przez publiczny punkt końcowy w kontekście JavaScript, w którym jest później wyświetlana na ekranie administracyjnym. Umożliwia to nieuwierzytelnionym użytkownikom uruchamianie dowolnego JavaScriptu w sesji administratora, który wejdzie w interakcję z zalogowanym wpisem. Dotyczy tylko instalacji wielostanowiskowych.
- CVE-2026-85133Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w kilku akcjach AJAX ustawień, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt i zniszczenie danych skanowania należących do administratora oraz nadpisanie zapisanej konfiguracji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The WPLP Cookie Consent WordPress plugin before 4.4.2 does not perform nonce or capability checks on one of its cookie scanner AJAX actions, allowing any authenticated user, such as a subscriber, to read back the automated scan schedule the administrator configured.