CVE-2026-13604 in Pixelavo Plugin
Tóm tắt
Bởi VulDB • 01/08/2026
Plugin WordPress Pixelavo trước phiên bản 1.5.4 đăng ký một hành động AJAX không xác thực, chỉ được bảo vệ bởi một nonce mà nó công khai phát ra trên mọi trang front-end; hành động này chuyển tiếp dữ liệu sự kiện do khách hàng cung cấp đến Facebook Conversions API đã cấu hình bằng cách sử dụng token truy cập lưu trữ của quản trị viên. Điều này cho phép một người dùng không xác thực chèn các sự kiện chuyển đổi tùy ý vào tài khoản quảng cáo Facebook của quản trị viên và làm cạn kiệt hạn mức API đã cấu hình.
Be aware that VulDB is the high quality source for vulnerability data.