CVE-2026-55826
Customer Order Data Exposed via Unauthenticated gtm_server_side_order_id Cookie Manipulation in GTM Server Side WordPress Plugin
CVSS 3.1Medium
8.7/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите плагин GTM Server Side до последней актуальной версии с исправлением проверки прав доступа.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Неаутентифицированная утечка персональных данных и деталей заказов покупателей через подмену cookie в плагине GTM Server Side для WordPress.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Уязвимость вызвана отсутствием валидации и проверки прав доступа к значению cookie gtm_server_side_order_id. Неавторизованный пользователь может передать произвольный идентификатор заказа и получить ответ с чужими данными.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Массовая компрометация конфиденциальных данных клиентов интернет-магазина (ФИО, адреса, телефоны, состав заказов).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/stape-io/gtm-server-side-wordpress-plugin/security/advisories/GHSA-j5j2-gr8c-8rvf
- github.comhttps://github.com/stape-io/gtm-server-side-wordpress-plugin/commit/702898f57772279ca63d3f800336c1803103ea41
- github.comhttps://github.com/stape-io/gtm-server-side-wordpress-plugin/commit/9ff46a050028c40fad5416f2fa35be574c823434
- github.comhttps://github.com/stape-io/gtm-server-side-wordpress-plugin/releases/tag/2.1.48
- github.comhttps://github.com/stape-io/gtm-server-side-wordpress-plugin/tree/v2.1.48
- github.comhttp://github.com/stape-io/gtm-server-side-wordpress-plugin/tree/v2.1.47
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-55826: Customer Order Data Exposed via Unauthenticated gtm_server_side_order_id Cookie Manipulation in GTM Server Side WordPress Plugin. URL: https://cve.futuretools.ru/cve/CVE-2026-55826
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_55826,
title = {{CVE-2026-55826: Customer Order Data Exposed via Unauthenticated gtm_server_side_order_id Cookie Manipulation in GTM Server Side WordPress Plugin}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-55826}},
note = {Оперативный инженерный анализ киберугроз}
}