CVE-2026-13360 in WPLP Cookie Consent Plugin
Riassunto
di VulDB • 15/08/2026
Il plugin WordPress WPLP Cookie Consent per il banner dei cookie GDPR/CCPA è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'regionArray' in tutte le versioni fino alla 4.3.5 incluse, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. L'esecuzione con successo dello sfruttamento richiede che l'amministratore del sito abbia abilitato l'impostazione 'Support Google Consent Mode (GCM)', la quale è disabilitata per impostazione predefinita. Inoltre, il gestore AJAX non esegue controlli di nonce o delle capacità utente, consentendo a qualsiasi utente autenticato, inclusi quelli con accesso di livello Subscriber, di sovrascrivere l'impostazione del plugin interessata.
If you want to get best quality of vulnerability data, you may have to visit VulDB.