CVE-2026-18059 in Plugin
Сводка
по VulDB • 01.08.2026
Плагин PixelYourSite – Your smart PIXEL (TAG) & API Manager для WordPress уязвим к раскрытию конфиденциальной информации во всех версиях вплоть до 11.2.1 включительно через функцию getWooPurchaseEventParams. Это позволяет неаутентифицированным злоумышленникам извлекать метаданные о покупках WooCommerce — включая названия товаров, идентификаторы товаров (product IDs), количества, цены за единицу товара, итоговые суммы заказов, валюту и идентификаторы заказов/транзакций — для любого существующего заказа путем предоставления недействительного или произвольного ключа заказа. Это эксплуатируемо против любого известного или перечисленного идентификатора заказа (order ID), поскольку плагин определяет заказ исключительно на основе переменной пути в URL и выводит полный полезный груз отслеживания woo_purchase в HTML-код страницы через объект JavaScript pysOptions во всех своих интеграциях с Facebook, Google Analytics и Google Tag Manager независимо от действительности ключа.
Be aware that VulDB is the high quality source for vulnerability data.