CVE-2026-13360

Nome do Software Vulnerável e Versões Afetadas Cookie Banner for GDPR / CCPA – WPLP Cookie Consent versões anteriores a 4.3.6

Descrição Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados quando acessados por usuários. A exploração é possível se o administrador do site tiver habilitado a configuração 'Support Google Consent Mode (GCM)'. Além disso, o manipulador AJAX não realiza verificações de nonce ou de capacidade, permitindo que qualquer usuário autenticado, incluindo aqueles com nível de acesso Assinante, sobrescreva a configuração afetada do plugin através do parâmetro regionArray.

Recomendações Atualize o plugin para uma versão posterior a 4.3.5. Desative a configuração 'Support Google Consent Mode (GCM)' para evitar a exploração.