Übersetzungs-Plug-in erlaubte die Übernahme von Konten
TranslatePress (WordPress-Plug-in)
Über eine Lücke im Übersetzungs-Plug-in TranslatePress konnten Unbefugte an den Link zum Zurücksetzen eines Passworts gelangen und darüber fremde Konten übernehmen. Die Einstufung liegt bei 9,8 von 10 Punkten.
Betroffen sind Versionen vor 3.3.2, behoben ist es ab 3.3.2. Das Plug-in ist auf rund 400.000 Websites im Einsatz. Ausnutzbar war die Lücke allerdings nur, wenn im Administratorprofil eine zweite Sprache eingestellt war.
Was das für dich heißt
Diese Meldung zeigt gut, warum "betrifft mich das?" bei WordPress selten schnell zu beantworten ist. Das Plug-in allein reichte nicht - es kam auf eine bestimmte Einstellung in einem bestimmten Profil an.
Für dich heißt das: Wenn du eine mehrsprachige WordPress-Seite betreibst, ist die Version dieses Plug-ins einen Blick wert. Und ganz allgemein - wer die Frage "welche Bedingungen gelten hier eigentlich für mich?" bei jeder Meldung neu recherchieren muss, hat entweder jemanden, der das tut, oder er tut es irgendwann nicht mehr.
Die Zusammenfassung der Fakten ist mit KI-Unterstützung entstanden und wurde vor der Veröffentlichung geprüft. Die Einordnung stammt von mir. Für den Inhalt der verlinkten Seite ist deren Betreiber verantwortlich.
Kennung CVE-2026-19632
Quelle heise online ↗