Analityczne wykorzystywanie plików cookies
CVE-2026-12955: Luka w wtyczce GDPR Cookie Consent dla WordPress umożliwiająca nieautoryzowaną modyfikację danych
Luka w GDPR Cookie Consent WordPress pozwala na nieautoryzowaną modyfikację ustawień przez użytkowników z poziomem Subskrybenta i wyższym. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 4.3 MEDIUM
- EPSS
- 9.59%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka GDPR Cookie Consent dla WordPress do wersji 4.3.6 posiada lukę pozwalającą na modyfikację harmonogramu skanowania ciasteczek bez odpowiedniej weryfikacji uprawnień i nonce. Atakujący z poziomem dostępu Subskrybenta lub wyższym mogą zmieniać konfigurację przechowywaną w opcji gdpr_scan_schedule_data, co powinno być zarezerwowane dla administratorów.
Wpływ biznesowy
Luka umożliwia użytkownikom z ograniczonymi uprawnieniami modyfikację ustawień administracyjnych wtyczki, co może prowadzić do niezamierzonych zmian w polityce zarządzania ciasteczkami na stronie. Może to wpłynąć na zgodność z przepisami RODO oraz zaufanie użytkowników. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko manipulacji konfiguracją i jej wpływ na prywatność danych.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki GDPR Cookie Consent i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do kont z uprawnieniami Subskrybenta i wyższymi oraz monitorować logi pod kątem nieautoryzowanych zmian w konfiguracji. Warto również przeprowadzić przegląd uprawnień użytkowników i wzmocnić mechanizmy weryfikacji działań administracyjnych.