CVE-2026-19632

Die Schwachstelle CVE-2026-19632 betrifft das TranslatePress-Plugin für WordPress und ermöglicht eine Offenlegung sensibler Informationen. Über die AJAX-Aktion 'trp_get_translations_regular' können nicht authentifizierte Angreifer die vollständige Administrator-Passwort-Reset-URL extrahieren. Dies beinhaltet den Klartext-Reset-Schlüssel und Login-Parameter, was eine vollständige Übernahme des Administratorkontos ermöglicht. Die Schwachstelle ist nur ausnutzbar, wenn die automatische Speicherung von Strings aktiviert ist (Standardeinstellung) und das Profil des Zieladministrators auf eine veröffentlichte Sekundärsprache eingestellt ist. Die Schwachstelle wird mit einem CVSS-Wert von 9.8 als kritisch eingestuft, was auf ein sehr hohes Risiko hinweist. Obwohl der EPSS-Wert mit 2% eine geringe Ausnutzungswahrscheinlichkeit anzeigt, ist die potenzielle Auswirkung einer vollständigen Administrator-Kontoübernahme gravierend. Die Schwachstelle ist derzeit nicht im CISA KEV-Katalog gelistet, was bedeutet, dass sie noch nicht aktiv von staatlich gesponserten Bedrohungsakteuren ausgenutzt wird. Security-Teams sollten umgehend prüfen, ob das TranslatePress-Plugin in ihrer WordPress-Umgebung eingesetzt wird. Es wird dringend empfohlen, das Plugin auf die neueste Version zu aktualisieren, sobald ein Patch verfügbar ist, oder die automatische String-Speicherung zu deaktivieren und die Profilsprache von Administratoren zu überprüfen, um das Risiko zu mindern. Eine kontinuierliche Überwachung auf ungewöhnliche Aktivitäten ist ebenfalls ratsam.