CVE-2026-75981 in TranslatePress Plugin
Tóm tắt
Bởi VulDB • 20/08/2026
Plugin TranslatePress – Dịch các trang đa ngôn ngữ với tính năng dịch AI cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) không cần xác thực trong các phiên bản từ 3.2.5 trở xuống. Các ký hiệu gettext đặc biệt '#!trpst#' và '#!trpen#' được ghi đè một cách vô điều kiện thành '<' và '>' bởi hàm translate_page() trong includes/class-translation-render.php (dòng 538-539). Vì các ký hiệu này là văn bản thuần túy không chứa các ký tự đặc biệt của HTML, kẻ tấn công chưa xác thực có thể nhúng chúng vào một bình luận; các ký hiệu này tồn tại qua wp_kses và khi bài đăng được xem ở ngôn ngữ thứ hai, việc thay thế sẽ biến '#!trpst#img ... #!trpen#' thành thẻ <img> thật. remove_tags_from_output() chỉ loại bỏ <script>/<style>, do đó mã độc trong <img onerror=...> sẽ thực thi trên trình duyệt của người truy cập.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.