CVE-2026-4019 in Complianz Plugin
Zusammenfassung
von VulDB • 10.05.2026
Das WordPress-Plugin „Complianz – GDPR/CCPA Cookie Consent“ ist in allen Versionen bis einschließlich 7.4.5 anfällig für unbefugten Datenzugriff. Dies liegt daran, dass der REST-API-Endpunkt unter /wp-json/complianz/v1/consent-area/{post_id}/{block_id} __return_true als permission_callback verwendet, wodurch jeder nicht authentifizierte Benutzer darauf zugreifen kann. Die Funktion cmplz_rest_consented_content() ruft einen Beitrag per ID über get_post() ab und gibt das Attribut consentedContent jedes darin gefundenen complianz/consent-area-Blocks zurück, ohne zu prüfen, ob der Beitrag veröffentlicht ist oder ob der Benutzer über die Berechtigung zum Lesen verfügt. Dies ermöglicht es nicht authentifizierten Angreifern, den Inhalt des Consent-Area-Blocks aus privaten, Entwurfs- oder nicht veröffentlichten Beiträgen auszulesen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.