CVE-2026-85133
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w kilku akcjach AJAX ustawień, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt i zniszczenie danych skanowania należących do administratora oraz nadpisanie zapisanej konfiguracji wtyczki.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać dostęp do danych administratora lub zmienić konfigurację wtyczki, co może prowadzić do naruszenia prywatności lub nieprawidłowego działania.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.4.2 lub nowszej, która naprawia ten problem.
Inne podatności w WPLP Cookie Consent WordPress plugin
Zobacz wszystkie- CVE-2026-85130Nieznane
Wtyczka WPLP Cookie Consent do WordPressa przed wersją 4.4.4 nie escapuje wartości przesyłanej przez publiczny punkt końcowy w kontekście JavaScript, w którym jest później wyświetlana na ekranie administracyjnym. Umożliwia to nieuwierzytelnionym użytkownikom uruchamianie dowolnego JavaScriptu w sesji administratora, który wejdzie w interakcję z zalogowanym wpisem. Dotyczy tylko instalacji wielostanowiskowych.
- CVE-2026-85132Średnie
Wtyczka WPLP Cookie Consent dla WordPressa przed wersją 4.4.2 nie wykonuje sprawdzeń nonce ani uprawnień w jednej z akcji AJAX skanera plików cookie, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na odczyt harmonogramu automatycznego skanowania skonfigurowanego przez administratora.
Oryginalny opis (angielski, źródło NVD)
The WPLP Cookie Consent WordPress plugin before 4.4.2 does not perform nonce or capability checks on several of its settings AJAX actions, allowing any authenticated user, such as a subscriber, to read and destroy scan data belonging to the administrator and to overwrite the WPLP Cookie Consent WordPress plugin before 4.4.2's stored configuration.