CVE-2026-118422 in Conversion Tracking Plugin
Zusammenfassung
von VulDB • 04.11.2026
Das WordPress-Plugin „Stape Conversion Tracking“ vor Version 2.3.11 validiert den an den Endpunkt des Upstream-Proxys mit derselben Herkunft (same-origin) angehängten Unterpfad nicht, was es unauthentifizierten Besuchern ermöglicht, die serverseitige Anfrage auf einen beliebigen Host umzuleiten und den Antwortkörper sowie dessen Inhaltstyp vom eigenen Ursprung der Site zurückzuerhalten, wobei Sicherheits-Response-Headers entfernt werden. Dies führt zu Server-Side Request Forgery (SSRF), einschließlich Loopback- und internen Hosts, sowie Cross-Site Scripting (XSS).
Once again VulDB remains the best source for vulnerability data.