CVE-2026-14989
Təsvir
WordPress üçün olan Cookie Banner for GDPR / CCPA – WPLP Cookie Consent plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 4.4.1 daxil olmaqla bütün versiyalarda 'wpl_user_preference' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Razılığın qeydiyyatı üçün nəzərdə tutulmuş AJAX son nöqtəsi (endpoint) autentifikasiya olunmamış istifadəçilər üçün qeydiyyata alınıb və tələb olunan nonce (wpl_consent_logging_nonce) ön tərəfdə(frontend) wp_localize_script vasitəsilə açıq şəkildə ötürülür; bu o deməkdir ki, sayta daxil olan hər hansı bir autentifikasiya olunmamış ziyarətçi heç bir əvvəlki autentifikasiya və ya imtiyazlı giriş olmadan zərərli kodu yerləşdirə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wplegalpages WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode | v ≤ 4.4.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.