CVE-2026-89278

ŚrednieCVSS 5.3

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

Wtyczka GPTranslate dla WordPressa w wersjach do 2.34.6 włącznie jest podatna na ujawnienie poufnych informacji poprzez funkcję enqueue_frontend_scripts. Nieuwierzytelniony atakujący może odzyskać klucz API dostawcy AI (OpenAI, DeepL, xAI/Grok, Gemini, Claude lub Google Cloud Translation) w postaci jawnej, pobierając dowolną publiczną stronę i stosując odwrotną transformację z publicznego pliku JavaScript wtyczki. Problem dotyczy konfiguracji domyślnej i wszystkich dostawców poza DeepSeek.

Ocena ryzyka

Ujawnienie klucza API dostawcy AI umożliwia atakującemu korzystanie z płatnego konta organizacji, generując niekontrolowane koszty i potencjalne nadużycia. Klucz może również posłużyć do dostępu do innych zasobów powiązanych z tym kontem.

Rekomendacja

Zaktualizuj wtyczkę GPTranslate do wersji nowszej niż 2.34.6. Natychmiast unieważnij i wygeneruj nowe klucze API u wszystkich dostawców AI oraz rozważ przejście na tryb server-proxy.

Inne podatności w GPTranslate WordPress plugin

CVE-2026-103309Wysokie
Wtyczka GPTranslate do WordPressa przed wersją 2.34.14 nie ogranicza właściwie, kto może przechowywać tłumaczenia, i nie escapuje ich podczas wyświetlania na przetłumaczonych stronach, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting, gdy włączone są tłumaczenia po stronie serwera.

Oryginalny opis (angielski, źródło NVD)

The GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.34.6 via the enqueue_frontend_scripts. This makes it possible for unauthenticated attackers to extract the plaintext third-party AI provider API key (OpenAI, DeepL, xAI/Grok, Gemini, Claude, or Google Cloud Translation) — a credential granting billed account access — by fetching any public page and applying the inverse transformation bundled in the plugin's own public JavaScript asset. This exposure affects the default configuration (gpt-3.5-turbo in client mode) and all supported non-DeepSeek providers; only deepseek-* models and gpt-* models configured in server-proxy mode correctly suppress key emission.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS