CVE-2026-94238

ŚrednieCVSS 6.8

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie ogranicza ścieżek plików, które mogą być odczytywane przez jej trasy plików tłumaczeń. Umożliwia to użytkownikom z uprawnieniem tłumacza pobranie zawartości niektórych typów plików z dowolnego miejsca na serwerze, w tym spoza katalogu głównego witryny.

Ocena ryzyka

Atakujący z uprawnieniem tłumacza może odczytać wrażliwe pliki, takie jak konfiguracje, klucze lub dane uwierzytelniające, co może prowadzić do dalszej kompromitacji systemu. Narusza to poufność danych.

Rekomendacja

Zaktualizuj wtyczkę Loco Translate do wersji 2.8.9 lub nowszej. Ogranicz uprawnienia tłumacza do zaufanych użytkowników.

Inne podatności w Loco Translate WordPress plugin

CVE-2026-94239Średnie
Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie sanityzuje ani nie escapuje niektórych wartości konfiguracji pakietu przed wyświetleniem ich w panelu administracyjnym. Umożliwia to użytkownikom z uprawnieniem tłumacza i wyższym przeprowadzenie ataku Stored Cross-Site Scripting przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Oryginalny opis (angielski, źródło NVD)

The Loco Translate WordPress plugin before 2.8.9 does not restrict which file paths its translation file routes will read, allowing users granted the Loco Translate WordPress plugin before 2.8.9's translator capability to retrieve the contents of files of certain types from anywhere on the server, including outside the web root.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS