A cadeia

1. Nonce AJAX público — toda página em idioma secundário imprime trp_data incluindo o nonce get_translations. Nonces para visitantes desconectados são públicos por design; o plugin depende deles para segurança.
2. URL de redefinição armazenada no dicionário de tradução — o plugin conecta-se a wp_mail e traduz e-mails de saída no idioma do destinatário. Quando um atacante anônimo dispara wp-login.php?action=lostpassword para um administrador cujo idioma de perfil é um idioma secundário publicado, todo o e-mail de redefinição — incluindo a URL wp-login.php?action=rp em texto simples com a chave de redefinição válida — é inserido em wp_trp_dictionary_<default>_<locale> sincronamente dentro da requisição do atacante. O SMTP nem precisa funcionar.
3. Leitura pública do dicionário — trp_get_translations_regular é registrado como wp_ajax_nopriv e, antes da 3.3.2, apenas verificava o nonce público. Qualquer pessoa pode enumerar o dicionário por string_ids e extrair a chave.

Análise técnica completa: CVE-2026-19632-REPORT.md

Ferramenta — cve-2026-19632.py

Um único script autocontido que executa a cadeia completa para cada alvo em uma lista:

1. Detecta TranslatePress (assinatura de página + fallback readme.txt)
2. Extrai o nonce público e todos os idiomas secundários publicados (trp_data + sondagem do seletor de idiomas)
3. Verifica se o manipulador AJAX público não corrigido responde sem autenticação
4. Descobre nomes de usuário (API REST → redirecionamento de autor → suposições comuns, cada uma verificada através do oráculo de erro do wp-login)
5. Coleta URLs de redefinição já armazenadas primeiro — sem necessidade de disparo
6. Caso contrário, dispara uma redefinição de senha por candidato até a URL vazar
7. Redefine a senha (fluxos WP ≤ 6.x e WP 7.0), faz login e — no segundo em que isso é bem-sucedido — anexa url|username|password ao arquivo de saída (flush, thread-safe, sem esperar o término da execução)

Robustez incorporada:

• Fallback de chave obsoleta — chaves coletadas que já foram usadas/expiradas são detectadas e uma nova redefinição é disparada automaticamente.
• Cobertura multilíngue — o vazamento é procurado em todos os dicionários de idiomas secundários, não apenas no primeiro.
• Tentativa de rede, suporte a proxy, logs coloridos (colorama com fallback simples).
• Senha forte aleatória por alvo (ou uma fixa via --new-password).

Requisitos

Uso

Demonstração

Log de terminal contra uma instância de laboratório (WordPress 7.0.4 + TranslatePress 3.3.1, ar padrão → en_US secundário) — valores sanitizados:

vuln.txt (gravado ao vivo, no momento do sucesso):

Trate vuln.txt como um artefato sensível — ele contém credenciais ativas e/ou chaves de redefinição válidas. Adicione-o ao .gitignore.

Condições necessárias para um alvo ser explorável

• TranslatePress ≤ 3.3.1 com pelo menos um idioma secundário publicado
• Salvamento automático de strings ATIVO (configuração avançada "Manual Translation Only" DESATIVADA — o padrão)
• O idioma de perfil da conta alvo = um idioma secundário
• Um nome de usuário descobrível
• Redefinição de senha não bloqueada de outra forma

Não é necessário: um servidor de e-mail funcional (a URL é armazenada dentro do filtro wp_mail, antes da tentativa de envio).

Mitigação

1. Atualize o TranslatePress para 3.3.2 ou posterior (correção oficial).
2. Defesa em profundidade: ative "Manual Translation Only", mantenha os idiomas de perfil dos administradores no idioma padrão do site, rotacione credenciais em qualquer instalação que executou ≤ 3.3.1 com um idioma secundário.
3. Monitore logs de admin-ajax.php para enumeração sequencial de string_ids com um nonce security público.

Linha do tempo de divulgação

Créditos

• Descoberta da vulnerabilidade: Yuto Hyakumoto (momopon1415) e a equipe Wordfence, creditados no changelog da 3.3.2.
• Prova de conceito: ghostpel

Referências

• Aviso Wordfence
• Changelog TranslatePress 3.3.2
• Aviso ThaiCERT
• IONIX Threat Center
• CIRCL vulnerability-lookup

Licença

MIT © 2026 ghostpel