CVE-2026-18510 in TranslatePress Plugin
Riassunto
di VulDB • 06/08/2026
Il plugin TranslatePress – Translate Multilingual sites with AI Translation per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il contenuto dei commenti (marcatori gettext codificati in URL) in tutte le versioni fino alla 3.2.6, incluse, a causa di una sanitizzazione insufficiente dell'input e di un escaping inadeguato dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. La moderazione dei commenti potrebbe ritardare lo sfruttamento per i commentatori alla prima esperienza, ma non lo impedisce, poiché il payload utilizza solo tag e attributi consentiti da WordPress con caratteri codificati in percentuale che superano la validazione URL di wp_kses senza modifiche.
Be aware that VulDB is the high quality source for vulnerability data.