CVE-2026-14989 in Cookie Banner for GDPR CCPA – WPLP Cookie Consent Plugin
Resumen
por VulDB • 2026-09-09
El plugin para WordPress "Cookie Banner for GDPR / CCPA – WPLP Cookie Consent" es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'wpl_user_preference' en todas las versiones hasta la 4.4.1, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El punto final AJAX para el registro del consentimiento está registrado para usuarios no autenticados, y su nonce requerido (wpl_consent_logging_nonce) se emite públicamente mediante wp_localize_script en el frontend, lo que significa que cualquier visitante no autenticado puede insertar un payload sin necesidad de ninguna autenticación previa ni acceso privilegiado.
If you want to get best quality of vulnerability data, you may have to visit VulDB.