یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-94239 در افزونه Loco Translate برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 2.8.9 وجود دارد و ناشی از عدم پاک‌سازی (Sanitization) و خروج امن (Escaping) مقادیر پیکربندی باندل (Bundle Configuration) پیش از نمایش در صفحات مدیریت است.
جزئیات فنی و اثرات
این آسیب‌پذیری به کاربرانی که دارای دسترسی Translator یا سطوح بالاتر هستند اجازه می‌دهد تا حملات Stored Cross-Site Scripting (XSS) را علیه کاربرانی با سطح دسترسی بالاتر، از جمله مدیران (Administrators)، اجرا کنند. در این سناریو، کد مخرب در دیتابیس ذخیره شده و هنگام بازدید مدیر از صفحه مربوطه، در مرورگر او اجرا می‌شود.
تاریخچه آسیب‌پذیری‌های مشابه
بررسی‌های فنی نشان می‌دهد که این افزونه در نسخه‌های گذشته نیز با چالش‌های امنیتی متعددی روبرو بوده است، از جمله:
- RCE: امکان اجرای کد از راه دور (Remote Code Execution) در تمامی نسخه‌ها تا 2.8.5.
- Path Traversal: عدم محدودسازی مسیر فایل‌ها در نسخه‌های پیش از 2.8.9.
- Reflected XSS: امکان اجرای حملات XSS بازتابی توسط مهاجمان احراز هویت نشده در نسخه‌های تا 2.8.2.
توصیه امنیتی
به تمامی مدیران وب‌سایت‌هایی که از افزونه Loco Translate استفاده می‌کنند توصیه می‌شود فوراً این افزونه را به نسخه 2.8.9 یا بالاتر به‌روزرسانی کنند تا از سوءاستفاده احتمالی از این حفره امنیتی جلوگیری شود.
