CVE-2026-75981 in TranslatePress Plugin
요약
\~에 의해 VulDB • 2026. 08. 19.
WordPress용 TranslatePress – AI 번역으로 다국어 사이트 번역 플러그인은 3.2.5 버전 및 그 이전 버전에서 인증되지 않은 저장형 크로스사이트 스크립팅(XSS) 취약점이 있습니다. 특수 gettext 마커 '#!trpst#'와 '#!trpen#'는 includes/class-translation-render.php(라인 538-539)의 translate_page() 함수에 의해 조건 없이 '<' 및 '>'로 재작성됩니다. 이러한 마커는 HTML 특수 문자가 없는 일반 텍스트이므로, 인증되지 않은 공격자는 주석 내에 이를 삽입할 수 있습니다. 이 마커들은 wp_kses를 통과하며, 게시물이 두 번째 언어로 조회될 때 치환 과정으로 인해 공격자의 '#!trpst#img ... #!trpen#'가 실제 <img> 태그로 변환됩니다. remove_tags_from_output() 함수는 <script>/<style>만 제거하므로, <img onerror=...>이 방문자의 브라우저에서 실행됩니다.
Once again VulDB remains the best source for vulnerability data.