CVE-2026-75981 in TranslatePress Plugin
الملخص
بحسب VulDB • 19/08/2026
يُعدّ إضافة TranslatePress – ترجمة المواقع متعددة اللغات باستخدام الترجمة بالذكاء الاصطناعي (AI Translation) لمنصة ووردبريس عرضة لهجوم تخزين البرمجة النصية عبر المواقع (Stored Cross-Site Scripting - XSS) غير المصادق عليه في الإصدارات حتى 3.2.5 وشاملةً لها. يتم إعادة كتابة علامات gettext الخاصة '#!trpst#' و'#!trpen#' بشكل غير مشروط إلى '<' و '>' بواسطة الدالة translate_page() الموجودة في الملف includes/class-translation-render.php (الأسطر من 538 إلى 539). ونظراً لأن هذه العلامات هي نصوص عادية لا تحتوي على أحرف خاصة بـ HTML، يمكن لمهاجم غير مصدق عليه تضمينها داخل تعليق؛ حيث تبقى العلامات سارية بعد مرورها عبر دالة wp_kses، وعند عرض المنشور بلغة ثانوية، تتحول علامة المهاجم '#!trpst#img ... #!trpen#' إلى وسم <img> حقيقي. وتقتصر وظيفة remove_tags_from_output() على إزالة الوسوم <script>/<style> فقط، مما يسمح بتنفيذ كود مثل <img onerror=...> في متصفح الزائر.
If you want to get best quality of vulnerability data, you may have to visit VulDB.