Krytyczna luka w TranslatePress: hasło administratora do wzięcia bez logowania

W sierpniu 2026 Wordfence opisał krytyczną lukę w pluginie TranslatePress (CVE-2026-19632) - wtyczce do tłumaczenia WordPressa używanej na ponad 400 tysiącach stron. Błąd dostał ocenę CVSS 9.8, czyli praktycznie maksymalną notę w tej skali: atakujący nie musi być zalogowany, nie musi niczego klikać, a skutkiem jest przejęcie konta administratora.

Mechanizm jest nietypowy, bo nie polega na klasycznym SQL injection ani uploadzie pliku. TranslatePress ma akcję AJAX o nazwie trp_get_translations_regular, która służy do pobierania przetłumaczonych fragmentów tekstu. Problem w tym, że przy domyślnych ustawieniach - włączonym automatycznym zapisywaniu ciągów i profilu administratora z ustawionym dowolnym opublikowanym językiem dodatkowym - adres URL do resetu hasła administratora też trafia do tabeli tłumaczeń jako „ciąg do przetłumaczenia”. Każdy, kto zapyta o tę tabelę przez wspomnianą akcję AJAX, może go odzyskać i użyć do przejęcia konta bez logowania.

To dobry przykład na to, jak funkcja niemająca nic wspólnego z bezpieczeństwem - mechanizm tłumaczenia treści - może otworzyć furtkę, o której nikt nie myślał podczas projektowania. Deweloperzy TranslatePress załatali właściwy błąd w wersji 3.3.2 (13 sierpnia 2026), ale ta łatka wprowadziła osobny błąd XSS (CVE-2026-66582), więc realnie bezpieczna jest dopiero wersja 3.3.4.

Dla kogoś, kto prowadzi stronę w WordPressie, liczy się kilka rzeczy. Po pierwsze - jeśli masz zainstalowany TranslatePress, sprawdź wersję w zakładce Wtyczki i zaktualizuj do 3.3.4 lub nowszej, niezależnie od tego, czy faktycznie korzystasz z tłumaczeń na drugi język. Po drugie - włączenie weryfikacji dwuetapowej na koncie administratora nie usuwa samego błędu, ale utrudnia atakującemu dokończenie przejęcia, nawet jeśli reset hasła się powiedzie. Po trzecie - to kolejny przypadek, w którym krytyczna dziura siedzi nie w rdzeniu WordPressa, a w popularnej wtyczce, więc regularne przeglądanie listy zainstalowanych wtyczek i ich wersji ma sens częściej niż raz na kwartał.

Na co dzień mierzymy czas odpowiedzi serwerów i to, jak hosting reaguje na realne obciążenie - szczegóły tego, jak to robimy, opisujemy w naszej metodologii testów. Ta sprawa pokazuje jednak, że techniczna jakość hostingu to nie tylko TTFB: dobry dostawca ma automatyczne skanowanie malware i szybko informuje klientów o krytycznych lukach w popularnych wtyczkach, zamiast zostawiać to wyłącznie na barkach administratora strony. Aktualny ranking hostingów i więcej wpisów o bezpieczeństwie WordPressa znajdziesz na naszym blogu.