CVE-2026-95530

Wtyczka WordPress PixelYourSite przed wersją 11.4.3 oraz PixelYourSite Pro przed wersją 12.6.8 nie sanityzują ani nie escapują wartości cookie przed wypisaniem jej do wyjścia strony. W witrynie korzystającej z pełnostronicowego cache pozwala to nieuwierzytelnionym atakującym zapisać ładunek Cross-Site Scripting w buforowanej stronie, która jest następnie serwowana innym odwiedzającym.

Wtyczka PixelYourSite dla WordPressa do wersji 11.2.1 ujawnia wrażliwe dane zakupów WooCommerce poprzez funkcję getWooPurchaseEventParams. Niezautoryzowani atakujący mogą wyodrębnić metadane zamówień, takie jak nazwy produktów, identyfikatory, ilości, ceny, sumy, walutę oraz identyfikatory zamówień, dla dowolnego istniejącego zamówienia, podając nieprawidłowy klucz zamówienia.

Wtyczka PixelYourSite dla WordPressa w wersjach do 11.1.5 włącznie jest podatna na ujawnienie wrażliwych informacji poprzez publicznie dostępne pliki logów. Nieuwierzytelniony atakujący może odczytać potencjalnie wrażliwe dane z logów, gdy włączone jest ustawienie "Meta API logs" (domyślnie wyłączone). Podatność została częściowo naprawiona w wersji 11.1.5, a w pełni w wersji 11.1.5.1.

Wtyczka PixelYourSite – Your smart PIXEL (TAG) & API Manager dla WordPress jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 11.1.2 włącznie. Wynika to z braku lub nieprawidłowej walidacji nonce w funkcji adminEnableGdprAjax(). Umożliwia to nieuwierzytelnionym atakującym modyfikację ustawień RODO poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora witryny do wykonania czynności, takiej jak kliknięcie linku.