WPLP Cookie Consent: kritische Lücke? Sofort auf 4.4.2

WPLP Cookie Consent: Kritische Upload-Lücke erlaubt die Komplettübernahme

Markus Seyfferth

Autor Dr. Web

1. September 2026

2 Min. Lesezeit

Eine kritische Lücke im weit verbreiteten Cookie-Consent-Plugin WPLP Cookie Consent erlaubt Angreifern ohne Anmeldung, beliebige Dateien auf betroffene WordPress-Sites zu schreiben. Patchstack bewertet CVE-2026-82970 mit dem Höchstwert 10.0. Betroffen ist jede Version bis 4.4.1, erst das Update 4.4.2 schließt die Lücke.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 31. August 2026 stufte die Sicherheitsplattform Patchstack eine Schwachstelle im Plugin WPLP Cookie Consent (Slug gdpr-cookie-consent, Hersteller WPeka) als maximal kritisch ein.^[1] Ein einziger unautorisierter Datei-Upload verwandelt das Einwilligungsbanner in eine vollständige Serverübernahme. Der Hersteller bewirbt die Erweiterung mit über 30.000 Websites.

Das Wichtigste in Kürze

CVE-2026-82970, CVSS 10.0: unautorisierter Datei-Upload ohne Anmeldung und ohne Nutzerinteraktion.
Verwundbar ist jede Version bis einschließlich 4.4.1, behoben in 4.4.2.
Eine einzige hochgeladene PHP-Datei genügt für die vollständige Übernahme von Website und Server.
Laut Hersteller läuft das Plugin auf über 30.000 Sites, vorwiegend im DSGVO-Raum.

Keks mit Schlüsselloch vor „Uploads“-Fußmatte und kleinem Etikett — Plugin-Sicherheitslücke ermöglicht unbeschränkten Datei-Upload ohne Validierung von Dateityp und Absender. Angreifer laden PHP-Dateien hoch und führen sie direkt aus

Der Kern der Lücke ist ein unbeschränkter Datei-Upload. Eine REST-Schnittstelle des Plugins nimmt Dateien entgegen, ohne Endung, Dateityp und Absender ernsthaft zu prüfen. Ein Angreifer lädt statt eines Logos eine ausführbare PHP-Datei hoch und ruft sie danach direkt im Browser auf.

Genau das erklärt den Höchstwert: Der Angriff braucht weder Login noch Klick. Sein Wirkungskreis reicht weit über das Plugin hinaus. Eine platzierte Webshell liest Datenbank-Zugänge aus, legt versteckte Administratoren an und greift auf weitere Installationen desselben Servers zu. Aus einem Pflichtwerkzeug für die Einwilligung wird ein Generalschlüssel.

Der Fall reiht sich in ein bekanntes Muster ein. Dasselbe Plugin fiel schon mehrfach durch unauthentifizierte Schwachstellen auf, von einer Broken-Access-Control-Lücke in Version 4.0.7 bis zur Datenpanne CVE-2025-11754 in Version 4.1.2. Reihenweise stehen gerade Plugins mit großer Reichweite im Visier, etwa die Kirki-Lücke mit 150.000 betroffenen Sites oder der Command-Injection-Fehler in Custom css-js-php (CVE-2026-6433).

Consent-Plugins sind besonders attraktiv, weil sie auf jeder Seite laden und offene REST-Endpunkte für ihre Banner-Logik brauchen. Dieselbe Automatisierung, die eben noch die offene Breeze-Cache-Lücke oder die tausendfach attackierte Burst-Statistics-Lücke abgegrast hat, findet eine frische Upload-Lücke in Minuten.

Ausgerechnet das Plugin, das die DSGVO erfüllen soll, wird zum Generalschlüssel für die ganze Website. Jede Erweiterung ist eine Vertrauensfrage und wird nicht beim Einbau beantwortet, sondern beim nächsten Update.
— Michael Dobler, Herausgeber Dr. Web

Was Betreiber jetzt tun sollten

Für deutsche Betreiber liegt die Ironie offen: Das Banner steht dort, weil DSGVO und TTDSG eine Einwilligung verlangen. Genau dieses Pflichtwerkzeug wird nun zum Einfallstor. Das BSI zählt verwundbare Plugins zu den häufigsten Ursachen gekaperter Websites. Die Haftung für die Datenpanne bleibt beim Seitenbetreiber.

Erste Pflicht ist das Update auf 4.4.2. Danach sollten Sie die PHP-Ausführung im Upload-Verzeichnis serverseitig sperren. Ein guter WordPress-Hoster aktiviert diesen Schutz ohnehin standardmäßig. Prüfen Sie zusätzlich die Benutzerliste auf unbekannte Administratoren und härten Sie die Installation nach den Grundlagen der WordPress-Sicherheit.

WPLP Cookie Consent: Soforthilfe

CVE-2026-82970, kritischer Datei-Upload ohne Anmeldung

10.0

CVSS, kritisch

bis 4.4.1

verwundbar

4.4.2

schließt die Lücke

Vier Schritte, die heute zählen

1. Sofort auf Version 4.4.2 aktualisieren.
2. PHP-Ausführung im Upload-Ordner serverseitig sperren.
3. Benutzerliste auf unbekannte Administratoren prüfen.
4. Zugriffslogs auf verdächtige Uploads durchsehen.

Ein CVSS-Wert von 10.0 lässt keinen Spielraum. Setzen Sie WPLP Cookie Consent ein, aktualisieren Sie heute, nicht erst zum nächsten Wartungsfenster.