یک آسیب‌پذیری امنیتی با شدت High در افزونه TranslatePress (نسخه 3.3.5 و نسخه‌های پیش از آن) شناسایی شده است که امکان اجرای کدهای مخرب در مرورگر کاربران را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-89412 ثبت شده است، از نوع Stored Cross-Site Scripting (XSS) است. ریشه این مشکل در عدم پاک‌سازی مناسب ورودی‌ها (Input Sanitization) و عدم گریز از خروجی‌ها (Output Escaping) در بخش Translation Memory Suggestion Panel قرار دارد.
مکانیسم حمله
مهاجمان بدون نیاز به احراز هویت (Unauthenticated)، می‌توانند از طریق پارامتر suggestion.original و استفاده از v-html، اسکریپت‌های وب دلخواه خود را در صفحات تزریق کنند. این کدهای تزریق شده در دیتابیس ذخیره شده و هر بار که یک کاربر (به‌ویژه مدیران سایت) صفحه مورد نظر را مشاهده کند، اسکریپت مخرب در مرورگر او اجرا خواهد شد.
تأثیرات احتمالی
- سرقت کوکی‌های نشست (Session Cookies) و توکن‌های احراز هویت.
- تغییر محتوای صفحه (Defacement) برای فریب کاربران.
- هدایت کاربران به سایت‌های مخرب یا صفحات فیشینگ.
- در دست گرفتن کامل حساب‌های کاربری با سطح دسترسی بالا در محیط مدیریت وردپرس.
