CVE-2025-10588
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka PixelYourSite – Your smart PIXEL (TAG) & API Manager dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 11.1.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji adminEnableGdprAjax(). Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień RODO poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania czynności, takiej jak kliknięcie linku.
Ocena ryzyka
Może prowadzić do nieautoryzowanych zmian w ustawieniach RODO i naruszenia zgodności.
Rekomendacja
Zaktualizuj wtyczkę PixelYourSite do wersji nowszej niż 11.1.2, aby naprawić walidację nonce.
Inne podatności w PixelYourSite
Zobacz wszystkie- CVE-2026-95530Średnie
W wtyczce PixelYourSite – Your smart PIXEL (TAG) Manager w wersjach do 11.4.1 występuje luka Cross Site Scripting (XSS) umożliwiająca atak przez użytkownika z rolą Subscriber. Atakujący z tą rolą może wstrzyknąć złośliwy skrypt.
- CVE-2026-18059Średnie
Wtyczka PixelYourSite dla WordPressa do wersji 11.2.1 ujawnia wrażliwe dane zakupów WooCommerce poprzez funkcję getWooPurchaseEventParams. Niezautoryzowani atakujący mogą wyodrębnić metadane zamówień, takie jak nazwy produktów, identyfikatory, ilości, ceny, sumy, walutę oraz identyfikatory zamówień, dla dowolnego istniejącego zamówienia, podając nieprawidłowy klucz zamówienia.
- CVE-2025-14280Średnie
Wtyczka PixelYourSite dla WordPressa w wersjach do 11.1.5 włącznie jest podatna na ujawnienie wrażliwych informacji poprzez publicznie dostępne pliki logów. Nieuwierzytelniony atakujący może odczytać potencjalnie wrażliwe dane z logów, gdy włączone jest ustawienie "Meta API logs" (domyślnie wyłączone). Podatność została częściowo naprawiona w wersji 11.1.5, a w pełni w wersji 11.1.5.1.
Oryginalny opis (angielski, źródło NVD)
The PixelYourSite – Your smart PIXEL (TAG) & API Manager plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 11.1.2. This is due to missing or incorrect nonce validation on the adminEnableGdprAjax() function. This makes it possible for unauthenticated attackers to modify GDPR settings via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS