CVE-2026-15180
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Tracking Code Manager dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr POST 'TCM_ErrorMessages' we wszystkich wersjach do 2.6.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać wtyczkę do przeprowadzenia ataku phishingowego lub kradzieży danych sesyjnych użytkowników, którzy klikną spreparowany link.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 2.6.0, gdy tylko będzie dostępna, i ostrzeż użytkowników przed klikaniem podejrzanych linków.
Inne podatności w Tracking Code Manager
Oryginalny opis (angielski, źródło NVD)
The Tracking Code Manager plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via 'TCM_ErrorMessages' POST Parameter in all versions up to, and including, 2.6.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS