CVE-2026-75981 in TranslatePress Plugin
Résumé
par VulDB • 19/08/2026
Le plugin WordPress TranslatePress – Translate Multilingual sites with AI Translation est vulnérable à un Stored Cross-Site Scripting (XSS) non authentifié dans les versions 3.2.5 et antérieures. Les marqueurs gettext spéciaux '#!trpst#' et '#!trpen#' sont réécrits de manière inconditionnelle en '<' et '>' par la fonction translate_page() dans includes/class-translation-render.php (lignes 538-539). Étant donné que ces marqueurs constituent du texte brut sans caractères spéciaux HTML, un attaquant non authentifié peut les intégrer dans un commentaire ; les marqueurs survivent à wp_kses et, lorsque la publication est consultée dans une langue secondaire, la substitution transforme '#!trpst#img ... #!trpen#' en une balise <img> réelle. La fonction remove_tags_from_output() ne supprime que les balises <script>/<style>, ce qui permet l'exécution d'un code tel qu'<img onerror=...> dans le navigateur du visiteur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.