🟠 CVE-2026-9109: High Schwachstelle

Zusammenfassung

Das WordPress-Plugin GPTranslate (Versionen bis 2.31) weist eine kritische Stored Cross-Site Scripting (XSS)-Schwachstelle auf. Die Vulnerability ermöglicht es unauthentifizierten Angreifern, beliebige JavaScript-Code in Webseiten einzuschleusen, der bei jedem Besuch ausgeführt wird. Die Schwachstelle resultiert aus unzureichender Eingabevalidierung und mangelnder Output-Escaping in der REST API.

Betroffene Systeme

Das Plugin GPTranslate – Multilingual AI Translation for WordPress ist in allen Versionen bis einschließlich 2.31 betroffen. Unabhängig von der WordPress-Installationskonfiguration oder Authentifizierungsmechanismen können Angreifer die Schwachstelle ausnutzen.

Technische Details

Der Angriff funktioniert nach folgendem Schema:

• Das Plugin speichert einen API-Schlüssel (SHA256-Hash der Website-URL) als JavaScript-Variable gptApiKey im HTML-Quelltext jeder Seite
• Jeder unauthentifizierte Besucher kann diesen Schlüssel auslesen
• Mit dem gewonnenen Schlüssel können Angreifer ohne weitere Authentifizierung auf den Endpunkt /wp-json/gptranslate/v1/request zugreifen
• Über diesen Endpunkt werden manipulierte Translation-Payloads mit XSS-Payloads eingespielt
• Die fehlende Sanitization und Output-Escaping führt zur Persistent-Speicherung der Skripte
• Beim nächsten Seitenzugriff wird das injizierte Skript ausgeführt

Empfohlene Massnahmen

• Sofortige Deaktivierung und Deinstallation des Plugins bis zu einer gepatchten Version
• Web Application Firewall (WAF) konfigurieren zur Filterung verdächtiger API-Anfragen an /wp-json/gptranslate/v1/
• Überprüfung der Datenbank auf injizierte XSS-Payloads in Translations-Einträgen
• Security Audit der WordPress-Installations-Logs durchführen
• Monitoring der REST API auf unerwartete Anfragen etablieren

Bewertung

CVSS 7.2 (High) – Die Schwachstelle ist kritisch einzustufen. Die Kombination aus fehlendem Authentifizierungserfordernis, einfacher API-Key-Extraktion und Persistent XSS stellt ein erhebliches Sicherheitsrisiko dar. Betroffene Websites sollten umgehend reagieren.