CVE-2026-97640
Açıklama
WordPress için geliştirilen WPConsent – Cookie Banner & Cookie Consent for Privacy Compliance (GDPR / CCPA / EU Compliance Cookie Notice) eklentisinin 1.1.9 dahil tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle Simple HTML DOM Parser Noise-Key Restoration (mXSS) aracılığıyla Yorum İçeriği üzerinden Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri yerleştirmesine olanak tanır. Bunun gerçekleşmesi için Script Blocking özelliğinin etkin olması gerekir ve istismar zinciri, saldırganın koordineli iki yorum göndermesine bağlıdır: biri izin verilen bir <code> öğesi içine olay işleyici sözdizimi yerleştiren, diğeri ise deterministik ___noise___ geri yükleme anahtarını izin verilen bir <abbr title=""> özniteliğine yerleştiren; anahtar ofseti ise kimlik doğrulaması gerektirmeyen bir wpconsent_debug=1 isteği ile doğrulanabilmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smub WPConsent – Cookie Banner & Cookie Consent for Privacy Compliance (GDPR / CCPA / EU Compliance Cookie Notice) | v ≤ 1.1.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.