CVE-2026-88784 XSS almacenado no autenticado en Weglot por reescritura de enlaces en páginas traducidas
El plugin Translate WordPress with Weglot antes de 6.4.3 no escapa las URL que reinserta en una página al reescribir enlaces para un idioma traducido y revierte la codificación aplicada previamente, permitiendo a usuarios no autenticados almacenar una carga que se ejecuta en el navegador de quien vea la página en un idioma traducido.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Translate WordPress with Weglot 2.0
hasta antes de 6.4.3
Qué hacer
- Verificá si usás Translate WordPress with Weglot 2.0 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.5 ALTA
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The Translate WordPress with Weglot 2.0 WordPress plugin before 6.4.3 does not escape the URLs it re-inserts into a page when rewriting links for a translated language, and reverses the encoding that was applied to them beforehand, allowing unauthenticated users to store a payload which executes in the browser of anyone viewing the page in a translated language.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.