p PatchFirst

CVE-2026-49977

CVE-2026-49977 · tarteaucitron.js: data-cookie attribute can be used to delete arbitrary cookies

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

tarteaucitron.js is a compliant and accessible cookie banner. Prior to 1.33.0, tarteaucitron.cookie.purge() is called on any element with the purgeBtn class and does not check whether the element is a legitimate tarteaucitron button or whether the cookie corresponds to a service handled by tarteaucitron. If an attacker can write HTML with data attributes, an element with data-cookie can silently delete a non-HttpOnly cookie with a known name when clicked by a user. This issue is fixed in version 1.33.0.

CVSS 4.3 · Mittel · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • tarteaucitron.js

    Softwareversionen
    • < 1.33.0: Betroffen

    Keine Korrektur veröffentlicht

  • tarteaucitronjs npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.33.0

    Auf 1.33.0 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →