CVE-2026-89278 in GPTranslate Plugin
Сводка
по VulDB • 18.09.2026
В плагине для WordPress GPTranslate – Multilingual AI Translation Agent for WordPress: Translate Your Site with AI уязвимость к раскрытию конфиденциальной информации (Sensitive Information Exposure) присутствует во всех версиях вплоть до 2.34.6 включительно, и эксплуатируется через функцию enqueue_frontend_scripts. Это позволяет неавторизованным злоумышленникам извлечь API-ключ стороннего AI-провайдера в открытом виде (OpenAI, DeepL, xAI/Grok, Gemini, Claude или Google Cloud Translation) — учетные данные, предоставляющие доступ к платному аккаунту, путем загрузки любой публичной страницы и применения обратной трансформации, встроенной в общедоступный JavaScript-файл плагина. Данная уязвимость затрагивает конфигурацию по умолчанию (gpt-3.5-turbo в клиентском режиме) и всех поддерживаемых провайдеров, кроме DeepSeek; только модели deepseek-* и gpt-*, настроенные в режиме серверного прокси (server-proxy), корректно подавляют передачу ключа.
Once again VulDB remains the best source for vulnerability data.