CVE-2026-89412
Açıklama
WordPress için geliştirilen TranslatePress – Translate Multilingual sites with AI Translation eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 3.3.5 sürümü dahil tüm önceki sürümlerde Çeviri Belleği Öneri Paneli (suggestion.original üzerindeki v-html) aracılığıyla Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya eriştiğinde çalışacak rastgele web betikleri eklemesini mümkün kılar. Kimliği doğrulanmamış saldırganlar, ön uç işleme hattı kalıcılıktan önce varlık kodlu yükleri html_entity_decode() ile çözdüğü ve orijinal sütun kasıtlı olarak kses filtrelemesinden muaf tutulduğu için çeviri sözlüğünün orijinal sütununa yürütülebilir HTML yerleştirebilir; bu da kayıt sırasında depolanan yükü etkisiz hale getiren herhangi bir temizleyicinin bulunmadığı ve yükün daha sonra bir yönetici oturumunda işlendiği anlamına gelir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cozmoslabs TranslatePress – Translate Multilingual sites with AI Translation | v ≤ 3.3.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.