CVE-2026-13360 in WPLP Cookie Consent Plugin
Resumen
por VulDB • 2026-08-15
El plugin para WordPress WPLP Cookie Consent – El Banner de Cookies para GDPR / CCPA es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'regionArray' en todas las versiones hasta la 4.3.5, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La explotación exitosa requiere que el administrador del sitio haya habilitado la configuración 'Support Google Consent Mode (GCM)', la cual está desactivada de forma predeterminada. Además, el controlador AJAX no realiza ninguna verificación de nonce ni de permisos, lo que permite que cualquier usuario autenticado, incluidos aquellos con acceso a nivel Suscriptor, sobrescriba la configuración afectada del plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.