یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-94238 در افزونه Loco Translate برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 2.8.9 وجود دارد و به دلیل عدم محدودسازی مسیرهای فایل (File Paths) در بخش مسیرهای فایل ترجمه رخ داده است.
جزئیات فنی و تاثیر
بر اساس گزارش‌های منتشر شده، کاربرانی که دارای دسترسی Translator در این افزونه هستند، می‌توانند از این نقص برای خواندن محتویات فایل‌های خاص از هر نقطه از سرور، حتی خارج از ریشه وب (Web Root)، استفاده کنند. این نوع آسیب‌پذیری که تحت عنوان Path Traversal شناخته می‌شود، می‌تواند منجر به افشای اطلاعات حساس سرور و فایل‌های پیکربندی شود.
سایر نقاط ضعف شناسایی شده
علاوه بر مورد ذکر شده، تحلیل‌های امنیتی سایر آسیب‌پذیری‌های این افزونه در نسخه‌های مختلف را نیز نشان می‌دهد، از جمله:
- Remote Code Execution (RCE): امکان اجرای کد از راه دور در نسخه‌های تا 2.8.5.
- Stored XSS: آسیب‌پذیری تزریق کد در نسخه‌های تا 2.8.7 برای کاربران احراز هویت شده.
- Reflected XSS: امکان اجرای کد در نسخه‌های تا 2.8.2 توسط مهاجمان بدون نیاز به احراز هویت.
- Input Sanitization: نقص در پاک‌سازی و Escape کردن مقادیر پیکربندی در نسخه‌های پیش از 2.8.9.
به مدیران وب‌سایت‌ها و متخصصان امنیت توصیه می‌شود هرچه سریع‌تر افزونه Loco Translate را به آخرین نسخه به‌روزرسانی کنند تا از بروز این تهدیدات جلوگیری شود.
