CVE-2026-75981

Nome do Software Vulnerável e Versões Afetadas TranslatePress – Translate Multilingual sites with AI Translation versões anteriores a 3.2.6

Descrição Um invasor não autenticado pode realizar Stored Cross-Site Scripting ao inserir marcadores gettext específicos em um comentário. A função translate page() em includes/class-translation-render.php reescreve incondicionalmente os marcadores #!trpst# e #!trpen# em caracteres < e >. Como esses marcadores são tratados como texto simples, eles ignoram o filtro wp kses. Quando o conteúdo é visualizado em um idioma secundário, a substituição cria tags HTML reais. Como a função remove tags from output() remove apenas tags <script> e <style>, um invasor pode usar uma tag <img> com um atributo onerror para executar código arbitrário no navegador do visitante.

Recomendações Atualize para uma versão posterior à 3.2.5.