„`html
Zusammenfassung
Das WordPress-Plugin TranslatePress – Translate Multilingual sites with AI Translation weist eine kritische Schwachstelle vom Typ Stored Cross-Site Scripting (XSS) auf. Die Lücke ermöglicht es unauthentifizierten Angreifern, beliebige JavaScript-Code in Kommentare einzuschleusen, die bei jedem Zugriff durch andere Benutzer ausgeführt werden. Betroffen sind alle Versionen bis einschließlich 3.2.6.
Betroffene Systeme
TranslatePress – Translate Multilingual sites with AI Translation Plugin für WordPress, Versionen ≤ 3.2.6. Das Plugin wird zur mehrsprachigen Website-Verwaltung mit KI-gestützter Übersetzungsfunktion verwendet und hat eine große Verbreitung im WordPress-Ökosystem.
Technische Details
Die Vulnerability basiert auf unzureichender Input-Sanitization und Output-Escaping bei der Verarbeitung von Kommentar-Inhalten. Der kritische Aspekt liegt in der Verwendung von URL-codierten gettext-Markern als Payload-Vektor. Angreifer nutzen Prozent-kodierte Zeichen, die die WordPress-Funktion wp_kses URL-Validierung passieren, ohne modifiziert zu werden.
Während die Standard-Kommentarmoderation für neue Kommentatoren eine zeitliche Verzögerung bewirkt, verhindert sie nicht die Ausführung des Exploits. Die Payload beschränkt sich auf von WordPress genehmigte HTML-Tags und Attribute, wodurch traditionelle Content Security Maßnahmen umgangen werden.
Empfohlene Massnahmen
- Sofortmassnahmen: Plugin deaktivieren oder deinstallieren, bis ein Patch verfügbar ist
- Alternative: Einsatz eines anderen mehrsprachigen Plugin-Lösungen mit aktuellen Security-Standards
- Monitoring: Kommentarverlauf auf verdächtige Einträge mit encoded Zeichen überprüfen
- WAF-Regeln: Web Application Firewall zur Filterung verdächtiger URL-Encodierungen implementieren
- Backup: Regelmäßige Datenbank-Backups zur Wiederherstellung durchführen
Bewertung
CVSS v3.1 Score: 7.2 (High) | Angriffsvektor: Network | Authentifizierung: Nicht erforderlich
Der hohe Schweregrad resultiert aus der Kombination der einfachen Exploitierbarkeit, fehlender Authentifizierung und großen Auswirkungen auf Benutzer-Sicherheit. Ein funktionierender Patch ist derzeit nicht vorhanden.
„`