CVE-2026-120540
7.2, altoiubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more Cross-Site Scripting Vulnerability
- CVSS
- 7.2, alto alta CVSS v3.1
- EPSS, prossimi 30 giorni
- n.d.
- Sfruttamento
- Nessuna prova pubblica
- Pubblicata
- 7 nov 2026oggi
Descrizione
The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 3.13.6. This is due to the way iubendaParser::parse_comments() re-processes HTML inside IUB-COOKIE-BLOCK markers through the bundled simple_html_dom parser after WordPress has already KSES-filtered the saved comment: simple_html_dom's remove_noise() stores <code> bodies under a deterministic key ('___noise___ 1000') and restore_noise() later substitutes any matching substring back into attribute values WITHOUT re-escaping, allowing a quote-breaking payload stashed in an allowed <code> element to be injected into an allowed <abbr title="___noise___ 1000"> attribute at render time. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page, after an administrator approves the first (otherwise moderated) comment under WordPress's default comment_previously_approved setting.
Dettagli
- Vendor
- Iubenda
- Prodotto
- iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more
- Debolezza
- CWE-79 (si apre in una nuova scheda)
- Stato
- Rinviata
- Aggiornata
- 7 nov 2026
- Assegnata da
- security@wordfence.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
Riferimenti 8
Altri riferimenti 8
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda-cookie-class/iubenda.class.php#L825 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda-cookie-class/simple_html_dom.php#L2199 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda-cookie-class/simple_html_dom.php#L2231 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda-cookie-class/simple_html_dom.php#L471 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda_cookie_solution.php#L832 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /browser/iubenda-cookie-law-solution/tags/3.13.5/iubenda_cookie_solution.php#L857 (si apre in una nuova scheda)
- plugins.trac.wordpress.org /changeset?reponame=&old=3779727%40iubenda-cookie-law-solution&new=3779727%40iubenda-cookie-law-solution (si apre in una nuova scheda)
- wordfence.com /threat-intel/vulnerabilities/id/fc26d5a0-86fc-48b5-af8f-73dd9a7f2b39?source=cve (si apre in una nuova scheda)
Il tipo è ricavato dai tag di NVD dove ci sono, altrimenti dalla forma dell'URL: consideratelo un indizio.
Oltre questa pagina
CVE-2026-120540 è nella vostra rete?
Questa pagina vi dice quanto è pericolosa CVE-2026-120540 in circolazione. Se si trova su uno dei vostri dispositivi, può dirlo solo una scansione della vostra rete. È quello che i nostri sistemi fanno ogni giorno per le aziende che proteggiamo.
-
EXYS7600 OCELOT
Trovarla prima degli attaccanti
Ocelot scansiona la vostra rete a intervalli pianificati e segnala ogni vulnerabilità che trova con il suo identificativo CVE, il punteggio CVSS e quanti dei vostri host sono interessati. Un risultato come CVE-2026-120540 arriva con i dispositivi da aggiornare.
Scoprite EXYS7600 OCELOT -
EXYS7950 KONDRA
Rilevarla se viene sfruttata
Finché la patch non è installata, Kondra sorveglia rete, eventi ed endpoint in tempo reale. Tiene l'inventario del software installato su ogni endpoint, e le sue regole di rilevamento delle anomalie segnalano cosa fa un attaccante una volta entrato.
Scoprite EXYS7950 KONDRA
Dati compilati dall'API NVD 2.0, dal catalogo CISA Known Exploited Vulnerabilities e da FIRST EPSS. I punteggi si riferiscono alla nostra ultima raccolta del 7 nov 2026, non allo stato attuale delle fonti.