CVE-2026-16597 in GTM4WP Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin WordPress GTM4WP – A Google Tag Manager (GTM) per WordPress è vulnerabile a Stored Cross-Site Scripting tramite i campi di fatturazione di WooCommerce in tutte le versioni fino alla 1.22.3 incluse, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape delle output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo richiede l'attivazione dell'opzione di integrazione dei dati d'ordine WooCommerce (GTM4WP_OPTION_INTEGRATE_WCORDERDATA) e viene sfruttato inserendo un payload JavaScript in un campo di fatturazione di WooCommerce, come il nome del cliente durante un checkout da ospite.
Once again VulDB remains the best source for vulnerability data.