CVE-2026-4298: Brak autoryzacji w wtyczce DSGVO All in one for WP do WordPress

Co wiadomo

Wtyczka DSGVO All in one for WP do WordPress w wersjach do 4.9 włącznie ma lukę polegającą na braku weryfikacji uprawnień i nonce w funkcji resetującej ustawienia. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta lub wyższym na zresetowanie spersonalizowanych treści polityki prywatności do wartości domyślnych.

Wpływ biznesowy

Luka umożliwia atakującym z ograniczonym dostępem do panelu WordPressa przywrócenie domyślnych ustawień polityk prywatności, w tym powiadomień o ciasteczkach oraz polityk Google Analytics, Facebook i YouTube. Może to prowadzić do niezamierzonego ujawnienia danych lub naruszenia zgodności z przepisami o ochronie danych, co stanowi ryzyko dla właścicieli stron i administratorów IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki DSGVO All in one for WP i ich wdrożenie. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Subskrybenta i wyżej, monitorować logi pod kątem nietypowych działań oraz przeglądać i weryfikować ustawienia polityk prywatności po ewentualnych zmianach.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference