CVE-2026-15005

WysokieCVSS 8.8

Opublikowano: 16/07/2026(UTC)Zaktualizowano: 16/07/2026(UTC)Przetłumaczono: 17/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Loco Translate dla WordPressa jest podatna na ataki Cross-Site Request Forgery (CSRF) we wszystkich wersjach do 2.8.5 włącznie. Brak walidacji tokena nonce w funkcji execTemplate umożliwia nieuwierzytelnionym atakującym wykonanie dowolnego kodu PHP na serwerze poprzez dostarczenie złośliwego parametru 'template' z URI strumienia php://filter, co omija walidację ścieżki i prowadzi do wykonania kodu.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego wykonania dowolnego kodu PHP na serwerze przez nieuwierzytelnionego atakującego, co może prowadzić do całkowitego przejęcia kontroli nad witryną WordPress, kradzieży danych lub dalszego rozprzestrzeniania ataku w infrastrukturze.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Loco Translate do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność CSRF i walidację parametru 'template'.

Inne podatności w Loco Translate

CVE-2026-15066Średnie
Wtyczka Loco Translate dla WordPressa do wersji 2.8.7 jest podatna na przechowywany atak XSS przez komentarze wyodrębnione z plików PO. Brak odpowiedniej sanityzacji i escapowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie tłumacza wstrzyknięcie dowolnych skryptów, które wykonają się przy odwiedzeniu strony.

Oryginalny opis (angielski, źródło NVD)

The Loco Translate plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 2.8.5. This is due to missing or incorrect nonce validation on the execTemplate function. This makes it possible for unauthenticated attackers to execute arbitrary PHP code on the server by supplying a php://filter stream wrapper URI as the 'template' parameter, which bypasses path validation and is passed directly to the include sink in execTemplate() via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.