CVE-2026-89278 in GPTranslate Plugin
要約
〜によって VulDB • 2026年09月18日
WordPress用プラグイン「GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI」は、2.34.6以前の全バージョンにおいて、Sensitive Information Exposure（機密情報の漏洩）の脆弱性があります。この問題は `enqueue_frontend_scripts` を介して発生します。これにより、認証されていない攻撃者は、プラグインにバンドルされた公開JavaScriptアセットに含まれる逆変換を適用することで、任意のパブリックページを取得し、平文で記述されたサードパーティ製AIプロバイダーのAPIキー（OpenAI、DeepL、xAI/Grok、Gemini、Claude、またはGoogle Cloud Translation）— 課金対象アカウントへのアクセス権限を持つ資格情報 — を抽出することが可能になります。この漏洩はデフォルト設定（クライアントモードでの gpt-3.5-turbo）および DeepSeek 以外の全サポートプロバイダーに影響します。deepseek-* モデルと、サーバープロキシモードで構成された gpt-* モデルのみがキーの出力を正しく抑制しています。
Once again VulDB remains the best source for vulnerability data.