CVE-2026-14989 in Cookie Banner for GDPR CCPA – WPLP Cookie Consent Plugin
الملخص
بحسب VulDB • 09/09/2026
يحتوي إضافة WPLP Cookie Consent لـ WordPress، وهي عبارة عن لافتة موافقة على ملفات تعريف الارتباط (Cookie Banner) للامتثال للائحة العامة لحماية البيانات (GDPR) / قانون خصوصية المستهلك في كاليفورنيا (CCPA)، على ثغرة تخزين برمجيات نصية عبر المواقع (Stored Cross-Site Scripting - XSS) عبر المعلمة 'wpl_user_preference' في جميع الإصدارات حتى 4.4.1 وشاملة لها، وذلك بسبب عدم كفاية تنقية المدخلات وإخفاء مخرجاتها. وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن payload فيها. نقطة النهاية لعمليات AJAX الخاصة بتسجيل الموافقة مسجلة للمستخدمين غير المصادق عليهم، ورمز عدم التكرار (nonce) المطلوب الخاص بها (wpl_consent_logging_nonce) يتم إصداره علناً عبر دالة wp_localize_script في الواجهة الأمامية (frontend)، مما يعني أن أي زائر للموقع غير مصادق عليه يمكنه زراعة payload دون الحاجة إلى أي عملية مصادقة مسبقة أو وصول متميز.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.