CVE-2026-18059
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka PixelYourSite dla WordPressa do wersji 11.2.1 ujawnia wrażliwe dane zakupów WooCommerce poprzez funkcję getWooPurchaseEventParams. Niezautoryzowani atakujący mogą wyodrębnić metadane zamówień, takie jak nazwy produktów, identyfikatory, ilości, ceny, sumy, walutę oraz identyfikatory zamówień, dla dowolnego istniejącego zamówienia, podając nieprawidłowy klucz zamówienia.
Ocena ryzyka
Ujawnienie szczegółów zamówień może naruszyć prywatność klientów i umożliwić atakującym przeprowadzenie dalszych ataków, takich jak phishing lub kradzież tożsamości.
Rekomendacja
Zaleca się aktualizację wtyczki PixelYourSite do najnowszej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do endpointów API.
Inne podatności w PixelYourSite
Zobacz wszystkie- CVE-2026-95530Średnie
W wtyczce PixelYourSite – Your smart PIXEL (TAG) Manager w wersjach do 11.4.1 występuje luka Cross Site Scripting (XSS) umożliwiająca atak przez użytkownika z rolą Subscriber. Atakujący z tą rolą może wstrzyknąć złośliwy skrypt.
- CVE-2025-14280Średnie
Wtyczka PixelYourSite dla WordPressa w wersjach do 11.1.5 włącznie jest podatna na ujawnienie wrażliwych informacji poprzez publicznie dostępne pliki logów. Nieuwierzytelniony atakujący może odczytać potencjalnie wrażliwe dane z logów, gdy włączone jest ustawienie "Meta API logs" (domyślnie wyłączone). Podatność została częściowo naprawiona w wersji 11.1.5, a w pełni w wersji 11.1.5.1.
Oryginalny opis (angielski, źródło NVD)
The PixelYourSite – Your smart PIXEL (TAG) & API Manager plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 11.2.1 via the getWooPurchaseEventParams. This makes it possible for unauthenticated attackers to extract WooCommerce purchase metadata — including product names, product IDs, quantities, per-item prices, order totals, currency, and order/transaction IDs — for any existing order by supplying an invalid or arbitrary order key. This is exploitable against any known or enumerated order ID, as the plugin resolves the order from the URL path variable alone and emits the full woo_purchase tracking payload into the page HTML via the pysOptions JavaScript object across its Facebook, Google Analytics, and Google Tag Manager integrations regardless of key validity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS