CVE-2026-14989 in Cookie Banner for GDPR CCPA – WPLP Cookie Consent Plugin
Zusammenfassung
von VulDB • 09.09.2026
Das Plugin „WPLP Cookie Consent“ für WordPress, das als Cookie-Banner für DSGVO / CCPA dient, ist in allen Versionen bis einschließlich 4.4.1 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den Parameter 'wpl_user_preference'. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Der AJAX-Endpunkt zur Protokollierung der Zustimmung ist für nicht authentifizierte Nutzer registriert, und das erforderliche Nonce (wpl_consent_logging_nonce) wird über wp_localize_script auf der Frontend-Seite öffentlich bereitgestellt. Dies bedeutet, dass jeder nicht authentifizierte Besucher einer Website ein Payload platzieren kann, ohne vorherige Authentifizierung oder privilegierten Zugriff zu benötigen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.