Сводка по уязвимости

Цепочка

1. Публичный AJAX nonce — на каждой странице на вторичном языке выводится trp_data, включая nonce get_translations. Nonce для вышедших из системы посетителей публичны по своей природе; плагин полагается на них для безопасности.
2. URL сброса, сохранённый в словаре переводов — плагин перехватывает wp_mail и переводит исходящие письма на язык получателя. Когда анонимный злоумышленник инициирует wp-login.php?action=lostpassword для администратора, чей языковой профиль является опубликованным вторичным языком, всё письмо со сбросом — включая URL wp-login.php?action=rp в открытом виде с действительным ключом сброса — вставляется в wp_trp_dictionary_<default>_<locale> синхронно внутри запроса злоумышленника. SMTP даже не обязано работать.
3. Публичное чтение словаря — trp_get_translations_regular зарегистрирован как wp_ajax_nopriv и до версии 3.3.2 проверял только публичный nonce. Любой может перечислить словарь по string_ids и извлечь ключ.

Полное техническое описание: CVE-2026-19632-REPORT.md

Инструмент — cve-2026-19632.py

Единый автономный скрипт, выполняющий полную цепочку для каждой цели из списка:

1. Обнаружение TranslatePress (сигнатура страницы + запасной вариант readme.txt)
2. Извлечение публичного nonce и всех опубликованных вторичных языков (trp_data + проверка переключателя языков)
3. Проверка, что незапатченный публичный AJAX-обработчик отвечает без аутентификации
4. Обнаружение имён пользователей (REST API → редирект автора → распространённые варианты, каждый проверяется через оракул ошибок wp-login)
5. Сначала сбор уже сохранённых URL сброса — триггер не нужен
6. В противном случае инициирование сброса пароля для каждого кандидата, пока URL не утечёт
7. Сброс пароля (потоки WP ≤ 6.x и WP 7.0), вход в систему и — в ту же секунду, когда это удаётся — добавление url|username|password в выходной файл (сброс буфера, потокобезопасно, без ожидания завершения выполнения)

Встроенная надёжность:

• Запасной вариант для устаревших ключей — собранные ключи, которые уже были использованы/истекли, обнаруживаются, и автоматически инициируется новый сброс.
• Покрытие нескольких языков — утечка ищется в словаре каждого вторичного языка, а не только в первом.
• Повтор сетевых запросов, поддержка прокси, цветные журналы (colorama с обычным запасным вариантом).
• Случайный надёжный пароль для каждой цели (или фиксированный через --new-password).

Требования

Использование

Демонстрация

Журнал терминала для лабораторного экземпляра (WordPress 7.0.4 + TranslatePress 3.3.1, ar по умолчанию → en_US вторичный) — значения очищены:

vuln.txt (записывается в реальном времени, в момент успеха):

Относитесь к vuln.txt как к конфиденциальному артефакту — он содержит действующие учётные данные и/или действительные ключи сброса. Добавьте его в .gitignore.

Условия, необходимые для эксплуатации цели

• TranslatePress ≤ 3.3.1 как минимум с одним опубликованным вторичным языком
• Автоматическое сохранение строк ВКЛЮЧЕНО (расширенная настройка "Manual Translation Only" ВЫКЛЮЧЕНА — по умолчанию)
• Языковой профиль целевой учётной записи = вторичный язык
• Обнаруживаемое имя пользователя
• Сброс пароля иным образом не заблокирован

Не требуется: работающий почтовый сервер (URL сохраняется внутри фильтра wp_mail, до попытки отправки).

Смягчение последствий

1. Обновите TranslatePress до версии 3.3.2 или новее (официальное исправление).
2. Эшелонированная защита: включите "Manual Translation Only", держите языковые профили администраторов на языке сайта по умолчанию, ротируйте учётные данные на любой установке, работавшей на ≤ 3.3.1 со вторичным языком.
3. Отслеживайте журналы admin-ajax.php на предмет последовательного перечисления string_ids с публичным nonce security.

Хронология раскрытия

Авторы

• Обнаружение уязвимости: Yuto Hyakumoto (momopon1415) и команда Wordfence, указаны в журнале изменений 3.3.2.
• Доказательство концепции: ghostpel

Ссылки

• Бюллетень Wordfence
• Журнал изменений TranslatePress 3.3.2
• Бюллетень ThaiCERT
• IONIX Threat Center
• CIRCL vulnerability-lookup

Лицензия

MIT © 2026 ghostpel