CVE-2026-95530
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W wtyczce PixelYourSite – Your smart PIXEL (TAG) Manager w wersjach do 11.4.1 występuje luka Cross Site Scripting (XSS) umożliwiająca atak przez użytkownika z rolą Subscriber. Atakujący z tą rolą może wstrzyknąć złośliwy skrypt.
Ocena ryzyka
Użytkownik z rolą Subscriber może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub innych ataków. Ryzyko dotyczy witryn z rejestracją użytkowników.
Rekomendacja
Zaktualizuj wtyczkę PixelYourSite do wersji nowszej niż 11.4.1. Ogranicz możliwość publikowania treści przez użytkowników z niskimi uprawnieniami.
Inne podatności w PixelYourSite
Zobacz wszystkie- CVE-2026-18059Średnie
Wtyczka PixelYourSite dla WordPressa do wersji 11.2.1 ujawnia wrażliwe dane zakupów WooCommerce poprzez funkcję getWooPurchaseEventParams. Niezautoryzowani atakujący mogą wyodrębnić metadane zamówień, takie jak nazwy produktów, identyfikatory, ilości, ceny, sumy, walutę oraz identyfikatory zamówień, dla dowolnego istniejącego zamówienia, podając nieprawidłowy klucz zamówienia.
- CVE-2025-14280Średnie
Wtyczka PixelYourSite dla WordPressa w wersjach do 11.1.5 włącznie jest podatna na ujawnienie wrażliwych informacji poprzez publicznie dostępne pliki logów. Nieuwierzytelniony atakujący może odczytać potencjalnie wrażliwe dane z logów, gdy włączone jest ustawienie "Meta API logs" (domyślnie wyłączone). Podatność została częściowo naprawiona w wersji 11.1.5, a w pełni w wersji 11.1.5.1.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in PixelYourSite – Your smart PIXEL (TAG) Manager <= 11.4.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS