CVE-2026-19632 — TranslatePress 未认证账户接管

通过密码重置链接泄露实现未认证账户接管

---

联系方式

TG:@soldout0O

💙 支持本项目

如果您认可我的工作，欢迎通过 USDT (TRC20)： TQBA72kakjCZLnJt8fJYcD7dyQCEpzNtVN 支持本项目

🎥 视频演示

此处提供脚本的完整视频讲解与演示：

▶️ 在 YouTube 上观看视频

⚠️ 概述

CVE-2026-19632 是一个严重的未认证账户接管漏洞，影响 TranslatePress – Multilingual WordPress 插件。

## 🚀 使用方法

创建一个 `list.txt` 文件，每行包含一个目标：

```text
https://target1.example
https://target2.example
https://target3.example

运行：

python3 CVE-2026-19632.py

工具将提示：

[?] targets file (list.txt):

输入：

list.txt

然后：

[?] concurrency (5):

按 Enter 使用默认并发数 5。

示例

$ python3 CVE-2026-19632.py

[?] targets file (list.txt): list.txt
[+] 3 targets loaded
[?] concurrency (5): 5

[*] https://target1.example
    nonce: xxxxxxxxxxxx... langs: en_US,fr_FR default: en_US
    users: admin

[1/3] TAKEOVER:0 VULN:1 SAFE:0 ERROR:0

结果状态

TAKEOVER   已进入接管阶段
VULN       检测到存在漏洞的条件
SAFE       目标不匹配漏洞条件
ERROR      处理目标时发生错误

工具使用以下文件：

list.txt    目标列表
users.txt   已发现的用户
shells.txt  与 shell 相关的结果

⚠️ 仅限授权的安全研究与测试使用。

📚 参考资料 CVE 记录： https://www.cve.org/CVERecord?id=CVE-2026-19632 Wordfence 公告： https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/translatepress-multilingual/translatepress-multilingual-331-unauthenticated-account-takeover-via-password-reset-link-disclosure TranslatePress： https://wordpress.org/plugins/translatepress-multilingual/ ⚖️ 免责声明

本项目仅供安全研究、漏洞分析、 防御性测试及授权渗透测试使用。

未经明确授权，请勿将本研究用于攻击任何系统。

作者不对因使用本材料而导致的滥用或损害承担责任。

TranslatePress <= 3.3.1