CVE-2026-94239

ŚrednieCVSS 6.8

Opublikowano: 03/10/2026(UTC)Zaktualizowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie sanityzuje ani nie escapuje niektórych wartości konfiguracji pakietu przed wyświetleniem ich w panelu administracyjnym. Umożliwia to użytkownikom z uprawnieniem tłumacza i wyższym przeprowadzenie ataku Stored Cross-Site Scripting przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Ocena ryzyka

Atak XSS typu stored może prowadzić do przejęcia sesji administratora, modyfikacji treści strony lub instalacji złośliwego oprogramowania. Wymaga konta z uprawnieniem tłumacza, co ogranicza grono potencjalnych atakujących.

Rekomendacja

Zaktualizuj wtyczkę Loco Translate do wersji 2.8.9 lub nowszej. Ogranicz liczbę użytkowników z uprawnieniem tłumacza do niezbędnego minimum.

Inne podatności w Loco Translate WordPress plugin

CVE-2026-94238Średnie
Wtyczka WordPress Loco Translate w wersji przed 2.8.9 nie ogranicza ścieżek plików, które mogą być odczytywane przez jej trasy plików tłumaczeń. Umożliwia to użytkownikom z uprawnieniem tłumacza pobranie zawartości niektórych typów plików z dowolnego miejsca na serwerze, w tym spoza katalogu głównego witryny.

Oryginalny opis (angielski, źródło NVD)

The Loco Translate WordPress plugin before 2.8.9 does not sanitise and escape some bundle configuration values before outputting them back in an admin page, allowing users with the translator capability and above to perform Stored Cross-Site Scripting attacks against high privilege users such as administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS