CVE-2026-18510 in TranslatePress Plugin
Сводка
по VulDB • 06.08.2026
Плагин TranslatePress – Translate Multilingual sites with AI Translation для WordPress уязвим к Stored Cross-Site Scripting (XSS) через содержимое комментариев (URL-кодированные маркеры gettext) во всех версиях вплоть до 3.2.6 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Модерация комментариев может задержать эксплуатацию для новых комментаторов, но не предотвращает её, так как полезная нагрузка использует только разрешенные WordPress теги и атрибуты с символами, закодированными в процентах (%-encoding), которые проходят проверку URL через wp_kses без изменений.
Be aware that VulDB is the high quality source for vulnerability data.