CVE-2026-17505
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka Translate Multilingual sites – TranslatePress dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) przez parametr 's' w wersjach do 3.2.5 włącznie. Funkcja translate_page() bezwarunkowo zastępuje wewnętrzne znaczniki #!trpst# i #!trpen# literałowymi nawiasami ostrymi w całym HTML, po tym jak WordPress już oczyścił i zabezpieczył dane wejściowe, co pozwala atakującemu ominąć normalne escapowanie HTML przez użycie tych znaczników w zapytaniu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, jeśli użytkownik kliknie specjalnie spreparowany link.
Ocena ryzyka
Atakujący może wykraść dane użytkowników, przejąć sesje lub przeprowadzić inne złośliwe działania w kontekście przeglądarki ofiary. Wymaga interakcji użytkownika, ale może być wykorzystany w kampaniach phishingowych.
Rekomendacja
Zaktualizuj wtyczkę TranslatePress do wersji z poprawką. Edukuj użytkowników o ryzyku klikania w podejrzane linki.
Inne podatności w TranslatePress
Zobacz wszystkie- CVE-2026-66582Wysokie
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce TranslatePress w wersjach do 3.3.2 włącznie.
- CVE-2026-19632Krytyczne
Wtyczka TranslatePress dla WordPressa do wersji 3.3.1 włącznie jest podatna na ujawnienie wrażliwych informacji przez akcję AJAX 'trp_get_translations_regular'. Niezalogowani atakujący mogą wyodrębnić surowy URL resetowania hasła administratora, co umożliwia pełne przejęcie konta administratora. Podatność jest wykorzystywana tylko przy włączonym automatycznym zapisywaniu ciągów (domyślnie) i gdy język profilu administratora jest ustawiony na opublikowany język dodatkowy.
- CVE-2026-78267Krytyczne
Podatność w wtyczce TranslatePress w wersjach do 3.3.2 pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień.
- CVE-2026-76053Wysokie
Wtyczka TranslatePress dla WordPressa do wersji 3.3.3 włącznie jest podatna na trwały atak XSS poprzez wstrzyknięcie hałasu komentarza do parsera HTML. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie jest możliwe, ponieważ lista dozwolonych KSES WordPressa pozwala na strukturę ładunku.
- CVE-2026-18512Średnie
Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 3.2.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-75981Wysokie
Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.
- CVE-2026-18510Wysokie
Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting przez komentarze (zakodowane znaczniki gettext) we wszystkich wersjach do 3.2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Translate Multilingual sites – TranslatePress plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 's' parameter in versions up to, and including, 3.2.5. This is due to the translate_page() function unconditionally replacing the plugin's internal #!trpst# and #!trpen# marker tokens with literal angle brackets across the entire HTML page output after WordPress has already sanitized and escaped user input — allowing the attacker to bypass WordPress's normal HTML escaping by using these tokens, which are not HTML special characters, in the search query. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a specially crafted link.