Vulnerabilidad GTM Server Side filtra pedidos WooCommerce

En pocas palabras: CVE-2026-55826, con CVSS 8.7, afecta al plugin GTM Server Side de stape.io en versiones 2.0.0 a 2.1.47. Permite que un atacante no autenticado manipule cookies y exponga en el dataLayer el pedido completo de otro cliente de WooCommerce, con sus datos personales. Se corrigió en la versión 2.1.48.

Si tenés una tienda WooCommerce con tracking server-side de Google Tag Manager, prestá atención: la vulnerabilidad CVE-2026-55826, divulgada el 23 de octubre de 2026, afecta al plugin GTM Server Side de stape.io. Con un CVSS de 8.7, permite que un atacante no autenticado manipule cookies y haga que el dataLayer de JavaScript muestre el pedido completo de otro cliente, con sus datos personales incluidos.

GTM Server Side es un plugin de WordPress desarrollado por stape.io que implementa tracking del lado del servidor para Google Tag Manager en tiendas WooCommerce. CVE-2026-55826 es una vulnerabilidad de exposición de información (CWE-200) que afecta a las versiones del plugin anteriores a la 2.1.48, según detalla el advisory oficial GHSA-j5j2-gr8c-8rvf publicado por stape-io en GitHub.

¿Cómo logra un atacante exponer pedidos ajenos sin estar autenticado?

El atacante manipula las cookies de sesión para forzar el renderizado del evento de compra («purchase event») de WooCommerce, logrando que el plugin muestre en el dataLayer los datos del pedido de otro cliente en vez de los propios. No hace falta login, no hace falta ningún permiso previo.

El vector CVSS 4.0 lo confirma con letra chica: AV:N/AC:L/AT:N/PR:N/UI:N. Traducido: ataque explotable por red (AV:N), complejidad baja (AC:L), sin requisitos de ataque adicionales (AT:N), sin privilegios (PR:N) y sin interacción del usuario (UI:N). ¿Necesitás convencer a la víctima de hacer clic en algo? No. El ataque corre solo, contra cualquier tienda con el plugin sin parchear expuesta en internet. Para más detalles técnicos, mirá comparar soluciones para detectar vulnerabilidades en plugins.

El problema de fondo es sencillo de entender aunque suene técnico: el plugin confía en el valor de una cookie para decidir qué pedido mostrar, y ese valor se puede alterar desde afuera. Cambiás la cookie, el sistema cree que sos otro cliente, y te entrega su información. Clásico caso de control de acceso roto, catalogado como CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor).

¿Qué versiones del plugin GTM Server Side están afectadas?

Según el registro oficial en CVE.org, retomado por Strix, las versiones vulnerables van desde la 2.0.0 hasta justo antes de la 2.1.48, que es donde se aplicó el parche.

Ahora bien, hay una discrepancia que vale aclarar. La fuente cve.imfht.com (un agregador que traduce y republica advisories de GitHub) indica un rango distinto: versiones <= 3.1.4 con fix en 3.1.5. Ese dato no coincide con el de CVE.org, así que tomalo con pinzas. El GitHub Advisory GHSA-j5j2-gr8c-8rvf y el registro de CVE.org son la fuente primaria: priorizá esa numeración (2.0.0 a <2.1.48) por encima de la del agregador hasta que haya confirmación cruzada.

¿Qué datos personales quedan expuestos en el dataLayer?

Queda expuesto el pedido completo de otro cliente, «full order data» según la descripción oficial, incluyendo información personal identificable (PII). Eso implica nombre, dirección de facturación y envío, email, teléfono y el detalle de los productos comprados, todo renderizado en el dataLayer de JavaScript de la página.

Lo que lo hace más delicado: el dataLayer es accesible desde la consola del navegador de cualquier visitante. No se necesita acceso al panel de administración de WordPress ni a la base de datos. Basta con que el atacante abra la tienda, altere la cookie correspondiente y mire el código fuente o inspeccione el objeto dataLayer en el navegador.

Ponele que tenés una tienda de indumentaria con 500 pedidos mensuales. Un atacante que automatice la manipulación de cookies podría, en teoría, iterar sobre distintos valores y recolectar el nombre, dirección y teléfono de buena parte de esos clientes, sin dejar rastro en los logs de autenticación (porque nunca se autenticó).

¿Qué tan grave es la vulnerabilidad con un CVSS de 8.7?

Es grave porque combina máxima explotabilidad con impacto alto en confidencialidad. El vector completo es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N: confidencialidad del sistema vulnerable en High (VC:H), pero integridad y disponibilidad en None (VI:N, VA:N).

Dicho de otra forma: no te van a borrar la base, no te van a tumbar el sitio. Te van a leer los pedidos de tus clientes. Para una tienda online, eso ya es un problema serio: filtración de PII, exposición a multas de protección de datos, y un golpe de confianza difícil de reparar con un cliente que se entera de que su dirección quedó visible para cualquiera. Cubrimos ese tema en detalle en otras vulnerabilidades críticas detectadas en plugins populares.

¿Es explotable de forma masiva? Todo indica que sí, dado que no requiere interacción del usuario ni privilegios previos. Eso la pone en la categoría de vulnerabilidades que conviene parchear ya, no «cuando haya tiempo».

¿Cómo actualizar a la versión 2.1.48 y verificar si tu tienda fue afectada?

Actualizá el plugin GTM Server Side a la versión 2.1.48 desde el repositorio oficial de stape-io en GitHub o desde el panel de plugins de WordPress si ya te llegó la notificación de actualización.

• Revisá el advisory oficial: el GHSA-j5j2-gr8c-8rvf trae el detalle técnico de los commits que corrigieron el fallo.
• Auditá logs del servidor, no solo tu propio dataLayer: como el bug expone datos de terceros, inspeccionar tu navegador no te dice si fuiste víctima. Buscá patrones de requests con cookies anómalas o repetidas en períodos cortos.
• Rotá credenciales sensibles si detectás accesos sospechosos: ante cualquier indicio de explotación, notificá a los clientes afectados según corresponda por normativa local.
• Verificá la versión instalada: desde el panel de WordPress, en Plugins, confirmá que el número muestre 2.1.48 o superior.

Un criterio práctico para no depender solo de la fecha de instalación: comparar el hash del archivo principal del plugin contra el commit publicado en el tag 2.1.48. Esto es una propuesta editorial, no un procedimiento que hayamos ejecutado nosotros; sirve como punto de partida para que tu equipo de desarrollo confirme la integridad del código antes de dar por cerrado el caso.

Si estás evaluando mover la tienda a un hosting con mejores prácticas de parcheo y monitoreo para WordPress y WooCommerce, en Argentina Donweb ofrece infraestructura optimizada para este tipo de instalaciones.

Qué está confirmado y qué no

Confirmado: la existencia de CVE-2026-55826, el CVSS 8.7, la clasificación CWE-200, el mecanismo de exposición vía manipulación de cookies en el evento de compra de WooCommerce, y la corrección disponible en la versión 2.1.48 según el advisory de stape-io.

Sin confirmar: el rango exacto de versiones afectadas tiene dos versiones contradictorias entre fuentes (2.0.0-2.1.47 según CVE.org versus <=3.1.4 según el agregador cve.imfht.com). Tampoco hay reportes públicos de explotación activa en tiendas reales al momento de esta nota, ni cifra oficial de sitios afectados.

Errores comunes al reaccionar ante este tipo de vulnerabilidad

• Confiar en que «nadie va a encontrar mi tienda»: los atacantes escanean rangos completos de IPs buscando plugins vulnerables, no apuntan a un sitio puntual.
• Actualizar el plugin pero no revisar si hubo explotación previa: parchear cierra la puerta a futuro, pero no borra lo que ya pudo haberse filtrado antes del update.
• Mirar solo el propio dataLayer para ver si «algo raro pasó»: como el bug muestra datos de terceros, tu navegador nunca te va a mostrar una anomalía en tu propia sesión.
• Postergar la actualización por miedo a romper el tracking: la versión 2.1.48 es un parche de seguridad puntual, no un cambio mayor de funcionalidad; probarla en staging antes de producción resuelve ese riesgo sin dejar la vulnerabilidad abierta semanas.

Preguntas Frecuentes

¿Qué es CVE-2026-55826 y a quién afecta?

CVE-2026-55826 es una vulnerabilidad de exposición de información (CWE-200) en el plugin GTM Server Side de stape.io, que afecta a tiendas WooCommerce que usan ese plugin para tracking server-side de Google Tag Manager. Tiene un CVSS de 8.7 y permite a un atacante no autenticado ver pedidos completos de otros clientes.

¿Cómo expone el plugin GTM Server Side datos de otros clientes?

Manipulando cookies para forzar que el mecanismo de tracking del evento de compra renderice en el dataLayer de JavaScript el pedido de un cliente distinto al que está navegando. No requiere autenticación, privilegios ni interacción de la víctima. Cobertura relacionada: las diferencias entre escaneo interno y externo de vulnerabilidades.

¿Qué versiones de GTM Server Side están afectadas?

Según el registro oficial de CVE.org, las versiones desde la 2.0.0 hasta antes de la 2.1.48. Un agregador independiente menciona un rango distinto (hasta 3.1.4), dato que todavía no está confirmado contra la fuente oficial. Nuestros colegas de donweb.news lo analizan en qué versión de Next.js realmente corrige el problema.

¿Cómo actualizo GTM Server Side a la versión segura?

Desde el panel de plugins de WordPress, aplicando la actualización a la versión 2.1.48, o descargando el release directamente desde el repositorio oficial de stape-io en GitHub.

¿Qué datos personales quedaron expuestos en el dataLayer?

El pedido completo de otros clientes, incluyendo información personal identificable como nombre, dirección y detalle de la compra, visible en el objeto dataLayer de JavaScript desde el navegador de cualquier visitante.

Conclusión

CVE-2026-55826 es el tipo de fallo que no rompe el sitio pero sí la confianza de tus clientes: un atacante sin credenciales puede leer pedidos ajenos con solo tocar una cookie. Si tenés WooCommerce con GTM Server Side instalado, actualizá a la 2.1.48 hoy, no la próxima semana. Después de parchear, revisá logs del servidor buscando patrones de cookies anómalas en las semanas previas, porque el update cierra la puerta pero no te dice si alguien ya entró. Y si el rango de versiones afectadas todavía te genera dudas, guiate por el advisory oficial de stape-io en GitHub antes que por agregadores de terceros.

Fuentes

• GitHub Security Advisory GHSA-j5j2-gr8c-8rvf – advisory oficial de stape-io
• Strix – detalle técnico de CVE-2026-55826 y vector CVSS 4.0
• cve.imfht.com – registro agregado de la vulnerabilidad (rango de versiones a confirmar)