VULNERABILIDAD
CVE-2026-105199 XSS almacenado en Pixel Tag Manager for WooCommerce
El plugin Pixel Tag Manager for WooCommerce para WordPress anterior a 2.2.3 no realiza una comprobación de capacidades en una de sus acciones AJAX y expone el nonce que la protege a cualquier usuario con acceso al panel de administración. Esto permite a usuarios con un rol tan bajo como Contributor sobrescribir la configuración de seguimiento del plugin y lograr que se ejecute JavaScript arbitrario en los navegadores de todos los visitantes, incluidos los administradores.
Alerta de Nureq Monitor
Detectada 24 OCT · 04:39
CVSS 3.1
6.8MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 10
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-105199
El plugin Pixel Tag Manager for WooCommerce para WordPress anterior a 2.2.3 no realiza una comprobación de capacidades en una de sus acciones AJAX y expone el nonce que la protege a cualquier usuario con acceso al panel de administración. Esto permite a usuarios con un rol tan bajo como Contributor sobrescribir la configuración de seguimiento del plugin y lograr que se ejecute JavaScript arbitrario en los navegadores de todos los visitantes, incluidos los administradores.
Productos y versiones afectadas
Pixel Tag Manager for WooCommerce
Qué hacer
- Verificá si usás Pixel Tag Manager for WooCommerce y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 6.8 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Altos
- INTERACCIÓN DEL USUARIO (UI)
- Requerida
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
Abrir la calculadora completa →
Descripción original
The Pixel Tag Manager for WooCommerce WordPress plugin before 2.2.3 does not perform a capability check in one of its AJAX actions, and exposes the nonce protecting it to any user able to access the admin dashboard, allowing users with a role as low as Contributor to overwrite the Pixel Tag Manager for WooCommerce WordPress plugin before 2.2.3's tracking configuration and have arbitrary JavaScript executed in the browsers of all visitors, including administrators.
Referencias
- wpscan.com/vulnerability/69d7c59c-77d1-422d-8ad7-6066dad59013/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.