CVE-2026-19632

总结

TranslatePress – 使用 AI 翻译插件的多语言站点翻译 WordPress 插件在所有版本（包括 3.3.1）中，通过 'trp_get_translations_regular' AJAX 操作存在敏感信息暴露漏洞。这使得未认证的攻击者能够提取原始管理员密码重置 URL——包括存储在翻译字典表中的明文重置密钥和登录参数——从而实现完全的管理员账户接管。仅当自动字符串保存功能启用（默认设置）且目标管理员的个人资料语言设置为已发布的次要语言时，此漏洞才可利用，因为这些条件会导致密码重置 URL 作为可翻译字符串持久化存储在次要语言字典表中。

• CVE-2026-19632-POC漏洞利用

  # CVE-2026-19632 的 PoC - TranslatePress – 多语言插件 <= 3.3.1 - 通过密码重置链接泄露实现未认证账户接管

• CVE-2026-19632PoC

  针对 CVE-2026-19632 的一日概念验证漏洞利用，该漏洞是 TranslatePress WordPress 插件中一个严重的未认证账户接管漏洞，演示了密码重置链接泄露和管理员账户接管。