CVE-2026-4298
ŚrednieCVSS 4.3Streszczenie
Wtyczka DSGVO All in one for WP dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 4.9 włącznie. Funkcja dsgvo_reset_policy_service_func() nie sprawdza uprawnień ani nie weryfikuje nonce podczas przetwarzania parametrów użytkownika do resetowania opcji wtyczki. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym zresetowanie wszystkich dostosowanych treści polityki prywatności, w tym powiadomień o ciasteczkach, polityk Google Analytics, Facebooka i YouTube, do wartości domyślnych.
Ocena ryzyka
Organizacja może stracić niestandardowe ustawienia polityki prywatności, co może prowadzić do niezgodności z RODO i potencjalnych kar finansowych. Atakujący może łatwo przywrócić domyślne treści, zakłócając zgodność z przepisami o ochronie danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę DSGVO All in one for WP do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, należy tymczasowo wyłączyć wtyczkę do czasu wydania poprawki.
Inne podatności w DSGVO All in one for WP
Oryginalny opis (angielski, źródło NVD)
The DSGVO All in one for WP plugin for WordPress is vulnerable to Missing Authorization in all versions up to and including 4.9. This is due to the dsgvo_reset_policy_service_func() function lacking both capability checks and nonce verification while processing user-supplied parameters to reset plugin options. This makes it possible for authenticated attackers, with Subscriber-level access and above, to reset all customized privacy policy content including cookie notices, Google Analytics policies, Facebook policies, and YouTube policies to their default values.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS