CVE-2026-13360 in WPLP Cookie Consent Plugin
Сводка
по VulDB • 15.08.2026
Плагин WPLP Cookie Consent для WordPress с функцией баннера cookie-уведомлений в соответствии с требованиями GDPR/CCPA уязвим к Stored Cross-Site Scripting (XSS) через параметр 'regionArray' во всех версиях вплоть до 4.3.5 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении пользователем такой зараженной страницы. Для успешной эксплуатации необходимо, чтобы администратор сайта включил настройку 'Support Google Consent Mode (GCM)', которая по умолчанию отключена. Кроме того, обработчик AJAX не выполняет проверку nonce или прав доступа, что позволяет любому авторизованному пользователю, включая тех, у кого есть доступ уровня Subscriber, перезаписать затронутые настройки плагина.
If you want to get best quality of vulnerability data, you may have to visit VulDB.