CVE-2026-15388

ŚrednieCVSS 4.3

Opublikowano: 12/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 12/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Cookie Consent przed wersją 0.0.10 nie egzekwuje poprawnie kontroli uprawnień administratora w trasach REST dotyczących ustawień zgody, co powoduje, że wymagane jest tylko uwierzytelnienie. Każdy zalogowany użytkownik, np. subskrybent, może aktualizować ustawienia zgody, a na stronach połączonych z płatnym planem dostawcy czytać zapisane logi zgód odwiedzających.

Ocena ryzyka

Naruszenie prywatności i integralności ustawień zgody. Użytkownicy o niskich uprawnieniach mogą modyfikować konfigurację i uzyskać dostęp do wrażliwych danych odwiedzających.

Rekomendacja

Zaktualizuj wtyczkę Cookie Consent do wersji 0.0.10 lub nowszej. Sprawdź, czy trasy REST wymagają odpowiednich uprawnień administratora.

Inne podatności w Cookie Consent

CVE-2026-18046Średnie
Wtyczka Cookie Consent przed wersją 0.0.10 nie egzekwuje poprawnie kontroli uprawnień administratora na trasie REST przechowującej klucz licencyjny usługi geolokalizacji. Trasa ta wymaga jedynie uwierzytelnienia, co pozwala każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na nadpisanie klucza i zakłócenie działania banerów zgody opartych na geolokalizacji.

Oryginalny opis (angielski, źródło NVD)

The Cookie Consent WordPress plugin before 0.0.10 does not correctly enforce its intended administrator-only capability check on its consent-settings REST routes, so they fall back to an authentication-only gate, allowing any authenticated user such as a subscriber to update the Cookie Consent WordPress plugin before 0.0.10's consent settings and, on sites connected to the vendor's paid plan, read stored visitor consent logs.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS