TranslatePress: уязвимость позволяет захватить аккаунт администратора WordPress

В плагине TranslatePress для WordPress обнаружена уязвимость, позволяющая неаутентифицированным злоумышленникам получать ссылку для сброса пароля администратора.

Уязвимость эксплуатируется, если язык профиля администратора установлен на опубликованный вторичный язык, а автоматическое сохранение строк включено. Это приводит к сохранению ссылки для сброса пароля в таблице словаря вторичного языка. Злоумышленники могут извлечь эту ссылку через AJAX-действие `trp_get_translations_regular` и получить полный контроль над сайтом.

Wordfence выпустил правило для защиты пользователей своих продуктов. Пользователи Wordfence Premium, Care и Response получили его 13 августа 2026 года, а пользователи бесплатной версии получат защиту 12 сентября 2026 года. Разработчики TranslatePress выпустили исправление версии 3.3.2.

ⓘ TranslatePress — плагин для WordPress
TranslatePress — популярный плагин для WordPress, позволяющий создавать многоязычные сайты. Он автоматически сохраняет переводимые строки, включая данные из электронных писем, в базе данных. Уязвимость CVE-2026-19632 позволяет извлекать из этих строк конфиденциальную информацию, такую как ссылки для сброса пароля администратора.

Источник: Wordfence
@cbunit