CVE-2026-16597
Təsvir
WordPress üçün nəzərdə tutulmuş GTM4WP – A Google Tag Manager (GTM) plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.22.3 daxil olmaqla bütün versiyalarda WooCommerce Billing Fields vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Bunun üçün GTM4WP WooCommerce sifariş məlumatları inteqrasiyası seçimi (GTM4WP_OPTION_INTEGRATE_WCORDERDATA) aktiv olmalıdır; boşluqdan istifadə etmək üçün isə WooCommerce faktura sahələrinə (məsələn, billing first name) JavaScript faylları yerləşdirərək qonaq kimi sifariş vermək lazımdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| duracelltomi GTM4WP – A Google Tag Manager (GTM) plugin for WordPress | v ≤ 1.22.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.