CVE-2026-75981 in TranslatePress Plugin
Resumen
por VulDB • 2026-08-19
El plugin TranslatePress – Translate Multilingual sites with AI Translation para WordPress es vulnerable a una Stored Cross-Site Scripting (XSS) no autenticada en las versiones 3.2.5 y anteriores. Los marcadores gettext especiales '#!trpst#' y '#!trpen#' son reescritos incondicionalmente por '<' y '>' mediante la función translate_page() en includes/class-translation-render.php (líneas 538-539). Dado que estos marcadores son texto plano sin caracteres HTML especiales, un atacante no autenticado puede incrustarlos en un comentario; los marcadores sobreviven al filtro wp_kses y, cuando se visualiza la publicación en un idioma secundario, la sustitución convierte el '#!trpst#img ... #!trpen#' del atacante en una etiqueta <img> real. La función remove_tags_from_output() solo elimina las etiquetas <script>/<style>, por lo que una etiqueta <img onerror=...> se ejecuta en el navegador del visitante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.