CVE-2026-14315

ŚrednieCVSS 6.5

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Pixel Tag Manager for WooCommerce dla WordPressa przed wersją 2.2.1 nie przeprowadza kontroli autoryzacji dla jednej ze swoich akcji AJAX. Pozwala to niezalogowanym użytkownikom na wysyłanie sfałszowanych zdarzeń konwersji e-commerce do skonfigurowanych zewnętrznych API reklamowych, używając zapisanych poświadczeń witryny.

Ocena ryzyka

Atakujący może generować fałszywe zdarzenia konwersji, co prowadzi do błędnych danych analitycznych, nieprawidłowych rozliczeń z platformami reklamowymi i potencjalnych strat finansowych.

Rekomendacja

Zaktualizuj wtyczkę Pixel Tag Manager for WooCommerce do wersji 2.2.1 lub nowszej, która dodaje wymaganą autoryzację.

Inne podatności w Pixel Tag Manager for WooCommerce WordPress plugin

CVE-2026-105199Średnie
Wtyczka WordPress Pixel Tag Manager for WooCommerce przed wersją 2.2.3 nie wykonuje sprawdzenia uprawnień w jednej ze swoich akcji AJAX i ujawnia chroniący ją nonce każdemu użytkownikowi mającemu dostęp do panelu administracyjnego. Umożliwia to użytkownikom o roli tak niskiej jak Contributor nadpisanie konfiguracji śledzenia wtyczki i wykonanie dowolnego JavaScriptu w przeglądarkach wszystkich odwiedzających, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The Pixel Tag Manager for WooCommerce WordPress plugin before 2.2.1 does not perform an authorization check on one of its AJAX actions, allowing unauthenticated users to submit forged e-commerce conversion events to the site's configured server-side advertising conversion APIs using the site's stored credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS