CVE-2026-96741

WysokieCVSS 7.2

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka DSGVO All in one for WP dla WordPressa jest podatna na przechowywany XSS poprzez treść komentarza w wyniku korupcji wyrażeń regularnych bufora wyjściowego we wszystkich wersjach do 5.0 włącznie. Luka wynika z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych, co pozwala nieuwierzytelnionym atakującym wstrzyknąć dowolne skrypty do stron.

Ocena ryzyka

Złośliwe skrypty wykonają się w przeglądarce użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji lub danych. Eksploatacja wymaga włączonej integracji Google Tag Manager i opcji automatycznego zastępowania oraz zatwierdzenia spreparowanego komentarza przez administratora.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 5.0, jeśli jest dostępna, lub wyłącz integrację Google Tag Manager i opcję automatycznego zastępowania. Weryfikuj komentarze przed zatwierdzeniem.

Inne podatności w DSGVO All in one for WP

CVE-2026-4298Średnie
Wtyczka DSGVO All in one for WP dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 4.9 włącznie. Funkcja dsgvo_reset_policy_service_func() nie sprawdza uprawnień ani nie weryfikuje nonce podczas przetwarzania parametrów użytkownika do resetowania opcji wtyczki. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta i wyższym zresetowanie wszystkich dostosowanych treści polityki prywatności, w tym powiadomień o ciasteczkach, polityk Google Analytics, Facebooka i YouTube, do wartości domyślnych.

Oryginalny opis (angielski, źródło NVD)

The DSGVO All in one for WP plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content via Output Buffer Regex Corruption in all versions up to, and including, 5.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is only exploitable when the administrator has enabled both the 'Google Tag Manager' integration and the 'Replace integration automatically [Beta]' option, and requires the crafted comment to be approved by an administrator.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS