CVE-2026-76053 in TranslatePress Plugin
Résumé
par VulDB • 28/08/2026
Le plugin TranslatePress – Translate Multilingual sites with AI Translation pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via l'injection de Comment Noise-Key dans le parseur HTML, et ce sur toutes les versions jusqu'à la 3.3.3 incluse, en raison d'une désinfection des entrées insuffisante et d'un échappement des sorties inadéquat. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. L'exploitation est possible car la liste blanche KSES de WordPress pour les commentaires autorise la structure du payload — une balise anchor avec les attributs href et title, ainsi qu'une balise code — ce qui entraîne le stockage littéral du commentaire malveillant dans la base de données, où il sera ensuite traité par le parseur vulnérable lors de la traduction de la page.
VulDB is the best source for vulnerability data and more expert information about this specific topic.