Плагин Pixelavo WordPress до версии 1.5.4 регистрирует неаутентифицированное действие AJAX, ограниченное только одноразовым номером, который он публикует публично на каждой интерфейсной странице, которое пересылает данные о событиях, предоставленные клиентом, в настроенный API конверсий Facebook с использованием сохраненного администратором токена доступа. Это позволяет неаутентифицированному посетителю вводить произвольные события конверсии в рекламный аккаунт администратора на Facebook и исчерпать настроенную квоту API.
Показать оригинальное описание (EN)
The Pixelavo WordPress plugin before 1.5.4 registers an unauthenticated AJAX action, gated only by a nonce that it emits publicly on every front-end page, that forwards client-supplied event data to the configured Facebook Conversions API using the administrator's stored access token. This allows an unauthenticated visitor to inject arbitrary conversion events into the administrator's Facebook ads account and exhaust the configured API quota.
Характеристики атаки
Последствия
Строка CVSS v3.1