CVE-2026-89278 in GPTranslate Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das WordPress-Plugin „GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI“ ist in allen Versionen bis einschließlich 2.34.6 anfällig für die Offenlegung sensibler Informationen (Sensitive Information Exposure) über den Hook `enqueue_frontend_scripts`. Dies ermöglicht es nicht authentifizierten Angreifern, den im Klartext vorliegenden API-Schlüssel eines Drittanbieters für KI-Dienste (OpenAI, DeepL, xAI/Grok, Gemini, Claude oder Google Cloud Translation) – ein Anmeldecredential mit Zugriff auf abgerechnete Konten – zu extrahieren. Dies geschieht durch das Abrufen einer beliebigen öffentlichen Seite und die Anwendung der inversen Transformation, die in den eigenen öffentlichen JavaScript-Ressourcen des Plugins enthalten ist. Diese Offenlegung betrifft die Standardkonfiguration (gpt-3.5-turbo im Client-Modus) sowie alle unterstützten Anbieter außer DeepSeek; nur deepseek-* Modelle und gpt-* Modelle, die im Server-Proxy-Modus konfiguriert sind, unterdrücken das Aussenden des Schlüssels korrekt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.