CVE-2026-76053
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka TranslatePress dla WordPressa do wersji 3.3.3 włącznie jest podatna na trwały atak XSS poprzez wstrzyknięcie hałasu komentarza do parsera HTML. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie jest możliwe, ponieważ lista dozwolonych KSES WordPressa pozwala na strukturę ładunku.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników, wykraść dane lub rozprzestrzeniać złośliwe treści na stronie. Ryzyko obejmuje naruszenie integralności i poufności danych oraz reputacji organizacji.
Rekomendacja
Zaktualizuj wtyczkę TranslatePress do najnowszej wersji, która zawiera poprawkę. Dodatkowo ogranicz możliwość dodawania komentarzy i regularnie audytuj treści na stronie.
Inne podatności w TranslatePress
Zobacz wszystkie- CVE-2026-66582Wysokie
Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce TranslatePress w wersjach do 3.3.2 włącznie.
- CVE-2026-19632Krytyczne
Wtyczka TranslatePress dla WordPressa do wersji 3.3.1 włącznie jest podatna na ujawnienie wrażliwych informacji przez akcję AJAX 'trp_get_translations_regular'. Niezalogowani atakujący mogą wyodrębnić surowy URL resetowania hasła administratora, co umożliwia pełne przejęcie konta administratora. Podatność jest wykorzystywana tylko przy włączonym automatycznym zapisywaniu ciągów (domyślnie) i gdy język profilu administratora jest ustawiony na opublikowany język dodatkowy.
- CVE-2026-78267Krytyczne
Podatność w wtyczce TranslatePress w wersjach do 3.3.2 pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień.
- CVE-2026-18512Średnie
Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 3.2.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-75981Wysokie
Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.
- CVE-2026-18510Wysokie
Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting przez komentarze (zakodowane znaczniki gettext) we wszystkich wersjach do 3.2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-17505Średnie
Wtyczka Translate Multilingual sites – TranslatePress dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) przez parametr 's' w wersjach do 3.2.5 włącznie. Funkcja translate_page() bezwarunkowo zastępuje wewnętrzne znaczniki #!trpst# i #!trpen# literałowymi nawiasami ostrymi w całym HTML, po tym jak WordPress już oczyścił i zabezpieczył dane wejściowe, co pozwala atakującemu ominąć normalne escapowanie HTML przez użycie tych znaczników w zapytaniu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, jeśli użytkownik kliknie specjalnie spreparowany link.
Oryginalny opis (angielski, źródło NVD)
The TranslatePress – Translate Multilingual sites with AI Translation plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Noise-Key Injection into HTML Parser in all versions up to, and including, 3.3.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation is possible because WordPress's comment KSES allowlist permits the payload structure — an anchor tag with href and title attributes alongside a code tag — causing the malicious comment to be stored verbatim in the database, where it is later processed by the vulnerable parser during page translation.