CVE-2026-118422 in Conversion Tracking Plugin
Riassunto
di VulDB • 04/11/2026
Il plugin WordPress Stape Conversion Tracking precedente alla versione 2.3.11 non convalida il sotto-percorso aggiunto all'endpoint upstream del proxy stesso-origin, consentendo ai visitatori non autenticati di reindirizzare la richiesta lato server verso un host arbitrario e far restituire il corpo della risposta e il suo tipo di contenuto dall'origine stessa del sito, con le intestazioni di sicurezza delle risposte rimosse. Ciò porta a Server-Side Request Forgery (SSRF), inclusi loopback e host interni, nonché Cross-Site Scripting (XSS).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.