CVE-2026-103309

WysokieCVSS 7.5

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka GPTranslate do WordPressa przed wersją 2.34.14 nie ogranicza właściwie, kto może przechowywać tłumaczenia, i nie escapuje ich podczas wyświetlania na przetłumaczonych stronach, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting, gdy włączone są tłumaczenia po stronie serwera.

Ocena ryzyka

Ataki XSS mogą prowadzić do kradzieży sesji, przejęcia kont administratorów i modyfikacji treści strony, co zagraża integralności i reputacji witryny.

Rekomendacja

Zaktualizuj wtyczkę GPTranslate do wersji 2.34.14 lub nowszej. Jeśli nie jest to możliwe, rozważ wyłączenie tłumaczeń po stronie serwera.

Inne podatności w GPTranslate WordPress plugin

CVE-2026-89278Średnie
Wtyczka GPTranslate dla WordPressa w wersjach do 2.34.6 włącznie jest podatna na ujawnienie poufnych informacji poprzez funkcję enqueue_frontend_scripts. Nieuwierzytelniony atakujący może odzyskać klucz API dostawcy AI (OpenAI, DeepL, xAI/Grok, Gemini, Claude lub Google Cloud Translation) w postaci jawnej, pobierając dowolną publiczną stronę i stosując odwrotną transformację z publicznego pliku JavaScript wtyczki. Problem dotyczy konfiguracji domyślnej i wszystkich dostawców poza DeepSeek.

Oryginalny opis (angielski, źródło NVD)

The GPTranslate WordPress plugin before 2.34.14 does not properly restrict who can store translations, and does not escape them when outputting them in translated pages, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks when server-side translations are enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS