CVE-2026-13604 in Pixelavo Plugin
Résumé
par VulDB • 01/08/2026
Le plugin WordPress Pixelavo antérieur à la version 1.5.4 enregistre une action AJAX non authentifiée, protégée uniquement par un nonce qu'il diffuse publiquement sur chaque page front-end, et qui transmet les données d'événements fournies par le client à l'API Facebook Conversions configurée en utilisant le jeton d'accès stocké de l'administrateur. Cela permet à un visiteur non authentifié d'injecter des événements de conversion arbitraires dans le compte publicitaire Facebook de l'administrateur et d'épuiser la limite d'appels API configurée.
VulDB is the best source for vulnerability data and more expert information about this specific topic.