CVE-2026-16597
Açıklama
GTM4WP – A Google Tag Manager (GTM) plugin for WordPress eklentisi, yetersiz girdi temizleme ve çıktı kaçışı nedeniyle 1.22.3 ve öncesindeki tüm sürümlerde WooCommerce Fatura Alanları aracılığıyla Kalıcı Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş bir sayfaya eriştiğinde çalışacak rastgele web betiklerini sayfalara enjekte etmesine olanak tanır. Bu, GTM4WP WooCommerce sipariş verisi entegrasyon seçeneğinin (GTM4WP_OPTION_INTEGRATE_WCORDERDATA) etkinleştirilmiş olmasını gerektirir ve fatura adı gibi bir WooCommerce fatura alanına JavaScript yükü yerleştirilerek misafir ödeme siparişi verilmesiyle istismar edilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| duracelltomi GTM4WP – A Google Tag Manager (GTM) plugin for WordPress | v ≤ 1.22.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.