Real Cookie Banner: GDPR & ePrivacy Cookie Consent <= 5.2.4 - Authenticated (Admin+) Server-Side Request Forgery via scan-without-login Endpoint 漏洞信息(CVE-2025-12136)

一、漏洞 CVE-2025-12136 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # Real Cookie Banner <=5.2.4 SSRF漏洞

## 概述

Real Cookie Banner: GDPR & ePrivacy Cookie Consent 插件中存在服务器端请求伪造（SSRF）漏洞。

## 影响版本

所有 **5.2.4 及之前版本**。

## 细节

漏洞位于 `/scanner/scan-without-login` REST API 端点。由于对用户提供的 URL 缺乏充分验证，攻击者可以构造恶意请求。

## 影响

具有管理员及以上权限的认证攻击者可利用该漏洞，通过 `url` 参数向任意目标发起 Web 请求，可能导致：

- 内部服务探测
- 敏感信息读取或篡改

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Real Cookie Banner: GDPR & ePrivacy Cookie Consent <= 5.2.4 - Authenticated (Admin+) Server-Side Request Forgery via scan-without-login Endpoint

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Real Cookie Banner: GDPR & ePrivacy Cookie Consent plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.2.4. This is due to insufficient validation on the user-supplied URL in the '/scanner/scan-without-login' REST API endpoint. This makes it possible for authenticated attackers, with administrator-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services via the `url` parameter.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

服务端请求伪造(SSRF)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-12136 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-12136 的情报信息

标题： Real Cookie Banner: GDPR & ePrivacy Cookie Consent <= 5.2.4 - Authenticated (Admin+) Server-Side Request Forgery via scan-without-login Endpoint -- 🔗来源链接

标签：
神龙速读
标题： Home - InfoSecStuff.com -- 🔗来源链接

标签：
神龙速读
标题： Scanner.php in real-cookie-banner/trunk/inc/rest – WordPress Plugin Repository -- 🔗来源链接

标签：
标题： Scanner.php in real-cookie-banner/trunk/inc/rest – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Scanner.php in real-cookie-banner/trunk/inc/rest – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Server Side Request Forgery | OWASP Foundation -- 🔗来源链接

标签：
神龙速读
标题： Changeset 3378727 – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-12136