TranslatePress 插件未授权存储型XSS漏洞(CVE-2026-18510)分析

漏洞概述 漏洞名称: TranslatePress <= 3.2.6 - Unauthenticated Stored Cross-Site Scripting via Comment Content CVE ID: CVE-2026-18510 CVSS评分: 7.2 (High) 发布日期: 2026年8月5日 最后更新日期: 2026年8月6日 研究人员: Pham Duc Anh 影响范围 软件类型: Plugin 软件名称: TranslatePress – Translate Multilingual sites with AI Translation 受影响版本: <= 3.2.6 修复版本: 3.3 修复方案 修复建议: 升级到版本3.3或更高版本。 漏洞描述 TranslatePress – Translate Multilingual sites with AI Translation 插件在3.2.6及更早版本中存在存储型跨站脚本（XSS）漏洞。攻击者可以通过注释内容注入任意JavaScript代码，这些代码会在用户访问受感染的页面时执行。尽管评论审核可能会延迟首次评论者的利用，但由于有效载荷仅使用WordPress允许的标签和属性，并且通过百分号编码传递wp_kses URL验证未修改，因此无法阻止利用。 参考链接 plugins.trac.wordpress.org 其他信息 CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 近期相关漏洞 1. TranslatePress <= 3.2.5 - Reflected Cross-Site Scripting - CVE ID: CVE-2026-17505 - CVSS评分: 6.1 - 研究人员: momopon1415 - 日期: 2026年8月4日 2. TranslatePress <= 2.10.2 - Unauthenticated PHP Object Injection - CVE ID: CVE-2025-58592 - CVSS评分: 8.1 - 研究人员: Phat RIO - 日期: 2025年9月24日 3. TranslatePress <= 2.9.6 - Authenticated (Administrator+) PHP Object Injection - CVE ID: CVE-2025-30773 - CVSS评分: 7.2 - 研究人员: Ananda Dhakal - 日期: 2025年3月27日 4. Translate Multilingual sites – TranslatePress <= 2.7.5 - Cross-Site Request Forgery - CVE ID: CVE-2024-34827 - CVSS评分: 4.3 - 研究人员: Dhabaleshwar Das - 日期: 2024年5月9日 5. TranslatePress <= 2.3.2 - Authenticated (Administrator+) SQL Injection - CVE ID: CVE-2022-3141 - CVSS评分: 7.2 - 研究人员: Elias Hohl - 日期: 2022年7月23日 6. TranslatePress <= 2.0.8 - Authenticated Stored Cross-Site Scripting - CVE ID: CVE-2021-24610 - CVSS评分: 4.8 - 研究人员: apapedulmu - 日期: 2021年8月30日 总结 TranslatePress – Translate Multilingual sites with AI Translation 插件在3.2.6及更早版本中存在存储型跨站脚本（XSS）漏洞，建议升级到版本3.3或更高版本以修复此漏洞。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

TranslatePress 插件未授权存储型XSS漏洞(CVE-2026-18510)分析

目标达成感谢每一位支持者 — 我们达成了 100% 目标！