CVE-2026-78267

Nieuwierzytelniony atak Cross Site Scripting (XSS) w wtyczce TranslatePress w wersjach do 3.3.2 włącznie.

Wtyczka TranslatePress dla WordPressa do wersji 3.3.1 włącznie jest podatna na ujawnienie wrażliwych informacji przez akcję AJAX 'trp_get_translations_regular'. Niezalogowani atakujący mogą wyodrębnić surowy URL resetowania hasła administratora, co umożliwia pełne przejęcie konta administratora. Podatność jest wykorzystywana tylko przy włączonym automatycznym zapisywaniu ciągów (domyślnie) i gdy język profilu administratora jest ustawiony na opublikowany język dodatkowy.

Wtyczka TranslatePress do wersji 3.3.6 zawiera podatność na trwały atak XSS. Atakujący może zapisać złośliwy skrypt, który wykonuje się przy każdej wizycie na stronie.

Wtyczka TranslatePress dla WordPress jest podatna na stored XSS poprzez panel sugestii pamięci tłumaczeń (v-html na suggestion.original) we wszystkich wersjach do 3.3.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty do słownika tłumaczeń, które wykonają się w sesji administratora.

Wtyczka TranslatePress dla WordPressa do wersji 3.3.3 włącznie jest podatna na trwały atak XSS poprzez wstrzyknięcie hałasu komentarza do parsera HTML. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Wykorzystanie jest możliwe, ponieważ lista dozwolonych KSES WordPressa pozwala na strukturę ładunku.

Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 3.2.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka TranslatePress dla WordPressa do wersji 3.2.5 włącznie jest podatna na nieuwierzytelnione przechowywane Cross-Site Scripting (XSS). Specjalne znaczniki gettext '#!trpst#' i '#!trpen#' są bezwarunkowo zamieniane na '<' i '>' przez funkcję translate_page(). Nieuwierzytelniony atakujący może osadzić te znaczniki w komentarzu, a po wyświetleniu posta w drugim języku znaczniki zamieniają się w prawdziwy tag <img>, co umożliwia wykonanie złośliwego skryptu w przeglądarce odwiedzającego.

Wtyczka TranslatePress dla WordPressa jest podatna na Stored Cross-Site Scripting przez komentarze (zakodowane znaczniki gettext) we wszystkich wersjach do 3.2.6 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka Translate Multilingual sites – TranslatePress dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) przez parametr 's' w wersjach do 3.2.5 włącznie. Funkcja translate_page() bezwarunkowo zastępuje wewnętrzne znaczniki #!trpst# i #!trpen# literałowymi nawiasami ostrymi w całym HTML, po tym jak WordPress już oczyścił i zabezpieczył dane wejściowe, co pozwala atakującemu ominąć normalne escapowanie HTML przez użycie tych znaczników w zapytaniu. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na stronach, które wykonają się, jeśli użytkownik kliknie specjalnie spreparowany link.