Fuente base de datos: Wordfence Intelligence

Cookie Banner for GDPR / CCPA <= 4.3.6 - Missing Authorization to Authenticated (Subscriber+) Scan Schedule Modification via gcc_save_schedule_scan AJAX Action en Gdpr Cookie Consent (falta de autorizacion) - version 4.3.7

PLUGIN MEDIUM CVE-2026-12955

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin GDPR Cookie Consent (versiones <= 4.3.6) que permite la modificación de la programación de escaneos a través de una acción AJAX sin la debida autorización. Esto puede comprometer la seguridad operativa del sitio al permitir cambios no autorizados en la configuración del escaneo.

Contexto técnico

El fallo se encuentra en la acción AJAX 'gcc_save_schedule_scan', que no valida adecuadamente los permisos de los usuarios autenticados, específicamente aquellos con el rol de suscriptor y superiores. Esto expone la superficie de ataque al permitir que usuarios no autorizados modifiquen la programación de escaneos.

Impacto potencial

La explotación de esta vulnerabilidad podría llevar a cambios no autorizados en la configuración del escaneo, afectando la capacidad de detección de amenazas y potencialmente permitiendo que se pase por alto actividad maliciosa. Esto puede resultar en un aumento de riesgos de seguridad para el negocio.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad enviando solicitudes AJAX maliciosas a la acción 'gcc_save_schedule_scan' sin la debida autorización, lo que les permite alterar la programación de escaneos.

Mitigación recomendada

Actualizar el plugin GDPR Cookie Consent a la versión 4.3.7 o superior para corregir la vulnerabilidad. Revisar y ajustar los permisos de usuario para asegurar que solo los roles adecuados tengan acceso a la configuración de escaneos. Implementar medidas de monitoreo para detectar cualquier actividad inusual relacionada con la programación de escaneos.

Señales de detección

Revisar los logs de acceso para identificar solicitudes AJAX inusuales a 'gcc_save_schedule_scan' y verificar cambios en la programación de escaneos sin autorización.

Alcance afectado

Las versiones del plugin GDPR Cookie Consent hasta la 4.3.6 son vulnerables. Las versiones posteriores (4.3.7 y superiores) no presentan este fallo.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

gdpr-cookie-consent