CVE-2026-75981 in TranslatePress Plugin
Riassunto
di VulDB • 19/08/2026
Il plugin WordPress TranslatePress – Translate Multilingual sites with AI Translation è vulnerabile a Stored Cross-Site Scripting (XSS) non autenticata nelle versioni fino alla 3.2.5 incluse. I marcatori gettext speciali '#!trpst#' e '#!trpen#' vengono riscritti incondizionatamente in '<' e '>' dalla funzione translate_page() nel file includes/class-translation-render.php (righe 538-539). Poiché questi marcatori sono testo normale privo di caratteri speciali HTML, un attaccante non autenticato può inserirli in un commento; i marcatori sopravvivono al filtro wp_kses e, quando il post viene visualizzato in una lingua secondaria, la sostituzione trasforma '#!trpst#img ... #!trpen#' inserito dall'attaccante in un vero tag <img>. La funzione remove_tags_from_output() rimuove solo i tag <script> e <style>, quindi un tag <img onerror=...> viene eseguito nel browser del visitatore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.