CVE-2023-46071: XSS non autenticato nel plugin RGPD

La vulnerabilità CVE-2023-46071 è una falla di Cross-Site Scripting (XSS) reflected non autenticata nel plugin ClickDatos Protección de Datos RGPD, versione 3.1.0 e precedenti. Un attaccante può iniettare codice JavaScript malevolo tramite parametri non sanificati, che viene eseguito nel contesto del browser degli utenti che visitano una pagina compromessa. L'impatto riguarda principalmente amministratori e visitatori del sito che usa il plugin, esposti a furto di sessioni, credenziali e dati personali.

Il punteggio CVSS è 7,1, classificato come high severity. La vulnerabilità è stata pubblicata su NVD il 25 ottobre 2023. Pur essendo una scoperta di tre anni fa, rimane rilevante: un fork di mantenimento su GitHub (aggiornato il 5 novembre 2026) documenta la correzione della falla, indicando che la comunità continua a considerarla importante. Non sono stati riportati segnali di exploit attivo su piattaforme pubbliche, ma la XSS unauthenticated è di facile sfruttamento.

Gli amministratori devono verificare immediatamente se il plugin è installato sui loro siti WordPress (o piattaforme equivalenti). Se presente in versione 3.1.0 o precedente, aggiornare a una versione corretta o valutare il ricorso al fork di mantenimento su GitHub. In parallelo, implementare una Content Security Policy (CSP) restrittiva per limitare l'esecuzione di script iniettati. Monitorare i log di accesso per segni di exploit (ad es. parametri di query sospetti, session hijacking anomali) e verificare l'integrità degli account amministrativi.