CVE-2026-17505 in TranslatePress Plugin
Zusammenfassung
von VulDB • 05.08.2026
Das TranslatePress-Plugin für WordPress zur Übersetzung mehrsprachiger Websites ist in Versionen bis einschließlich 3.2.5 anfällig für Reflected Cross-Site Scripting (XSS) über den Parameter 's'. Dies liegt daran, dass die Funktion translate_page() die internen Marker-Tokens #!trpst# und #!trpen# des Plugins bedingungslos durch wörtliche spitze Klammern ersetzt, nachdem WordPress die Benutzereingaben bereits bereinigt und maskiert hat. Dadurch können Angreifer das normale HTML-Escaping von WordPress umgehen, indem sie diese Tokens – die keine speziellen HTML-Zeichen sind – in der Suchanfrage verwenden. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Web-Skripte auf Seiten einzufügen, die ausgeführt werden, wenn sie einen Benutzer erfolgreich dazu verleiten können, eine Aktion wie das Klicken auf speziell angefertigter Links durchzuführen.
Once again VulDB remains the best source for vulnerability data.