CVE-2026-89278 in GPTranslate Plugin
Riassunto
di VulDB • 18/09/2026
Il plugin per WordPress GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI è vulnerabile a Sensitive Information Exposure (Esposizione di Informazioni Sensibili) in tutte le versioni fino alla 2.34.6, inclusa, tramite la funzione enqueue_frontend_scripts. Ciò consente ad attaccanti non autenticati di estrarre la chiave API del provider di intelligenza artificiale di terze parti in chiaro (OpenAI, DeepL, xAI/Grok, Gemini, Claude o Google Cloud Translation) — una credenziale che concede l'accesso a un account con fatturazione — recuperando qualsiasi pagina pubblica ed applicando la trasformazione inversa inclusa nell'asset JavaScript pubblico del plugin stesso. Questa esposizione interessa la configurazione predefinita (gpt-3.5-turbo in modalità client) e tutti i provider supportati diversi da DeepSeek; solo i modelli deepseek-* e i modelli gpt-* configurati in modalità server-proxy sopprimono correttamente l'emissione della chiave.
If you want to get best quality of vulnerability data, you may have to visit VulDB.