Recommended action window: Monitor and triage in normal cycle
NVD description
The PixelYourSite WordPress plugin before 11.4.3, PixelYourSite Pro WordPress plugin before 12.6.8 do not sanitise and escape a cookie value before printing it into the page output, which, on a site running a full-page cache, allows unauthenticated attackers to store a Cross-Site Scripting payload in the cached page that is then served to other visitors.
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
NONE
入れたっきりの計測タグ、ヒヤッとする話だミー...。 PixelYourSiteのXSS脆弱性（CVE-2026-109987）。ログインしていない人が細工したCookieでアクセスすると、その中身がキャッシュに残って、次に開いた訪問者のブラウザで動く。 対象：11.4.3より前（Proは12.6.8より前） 対処方法：11.4.4にあげる（Proは12.6.8） 修正版は10/17に出ている。修正前は更新の通知が出ないことがあるから、一覧でバージョンを見るのが安心だミー🐾 https://patchon.jp/blog/pixelyoursite-cookie-stored-xss