CVE-2026-8467疑似 Plausible 入侵入口
旧 /storybook RCE 被怀疑是入口，但尚未确认为本次入侵原因。
Convertr 共享分析脚本被投毒，窃取结账支付数据
Sansec 发现 Convertr 共享追踪脚本窃取支付数据，并于 10 月 27 日确认清理；浏览器缓存可能继续保留恶意脚本 24 小时。Plausible 漏洞作为入侵入口的说法仍未证实。
- 披露时间
- 2026年10月26日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 本页收录 1 个 CVE
- 波及范围
- 10 月 24 日起使用 checkout.convertr 页面付款的购物者；受影响商户及人数未确定
- 电商 · 供应链 · 支付卡窃取
- 在野利用
- 已发现
- Sansec 观察到支付窃取脚本；最初利用的漏洞未确认。
发生了什么
这是新披露的支付数据窃取事件，并非旧 Plausible 漏洞的再次披露。Sansec 未取得 Convertr 服务器日志，无法确认该入口。已观察到支付数据窃取，因此评为 L4。更广泛攻击团伙使用的六个 Discord webhook 路径及其他载荷特征，见 Sansec 完整指标章节。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Plausible CE——仅针对疑似入口漏洞 | 3.2.1 | 升级无法撤销已发生的支付数据窃取 |
案发时间线
2026年10月24日
Sansec 发现结账数据窃取
2026年10月26日
Sansec 公开共享脚本失陷调查
2026年10月27日
Sansec 确认服务端追踪脚本已清理
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Sansec 调查一手来源10 月 26 日披露、27 日清理、完整指标及缓存警告；最初入口未确认。
- Plausible 安全公告一手来源旧疑似入口漏洞：影响 >=3、<3.2.1，修复版本 3.2.1，并给出端点阻断及调查措施。
- BleepingComputer涉及卡号、有效期、CVV、姓名及 CPF；建议清除缓存。