Μια κρίσιμη ευπάθεια στο πρόσθετο TranslatePress για WordPress μπορεί να επιτρέψει την αύξηση δικαιωμάτων ενός λογαριασμού και να οδηγήσει σε πλήρη έλεγχο ενός ιστοτόπου. Η καταχώριση CVE-2026-78267 αφορά εκδόσεις έως και την 3.3.2 και απαιτεί άμεση αξιολόγηση από τους διαχειριστές.
Το NVD περιγράφει την ευπάθεια TranslatePress ως μη πιστοποιημένη αύξηση δικαιωμάτων και αποδίδει το ζήτημα στην εσφαλμένη εκχώρηση προνομίων. Το Patchstack, στην αντίστοιχη τεχνική καταχώριση, μιλά για δράστη που ξεκινά από λογαριασμό χαμηλών δικαιωμάτων.
Η διαφορά στη διατύπωση δεν αλλάζει το πρακτικό συμπέρασμα: ένα ιστότοπος WordPress με παλιά έκδοση του TranslatePress πρέπει να ελεγχθεί και να ενημερωθεί. Το Patchstack χαρακτηρίζει την ευπάθεια TranslatePress υψηλής προτεραιότητας, με CVSS 9.8, και αναφέρει ότι η έκδοση 3.3.3 διορθώνει το πρόβλημα.
Δείτε επίσης: miniOrange SAML: Κρίσιμη παράκαμψη σύνδεσης απειλεί WordPress
Η ευπάθεια TranslatePress και η CVE-2026-78267
Το TranslatePress χρησιμοποιείται για τη μετάφραση σελίδων απευθείας από το περιβάλλον του ιστοτόπου και υποστηρίζει θέματα, πρόσθετα, WooCommerce και κατασκευαστές σελίδων. Επειδή λειτουργεί πάνω σε περιεχόμενο και ρυθμίσεις που συνδέονται με λογαριασμούς WordPress, η λανθασμένη εκχώρηση προνομίων μπορεί να μετατρέψει έναν περιορισμένο χρήστη σε διαχειριστή.
Η ευπάθεια TranslatePress, που καταγράφεται ως CVE-2026-78267, αφορά τις εκδόσεις 3.3.2 και παλαιότερες. Το NVD δεν έχει ακόμη δημοσιεύσει δική του βαθμολογία CVSS ούτε αναφέρει τεχνική αιτία σε μεγαλύτερο βάθος, ενώ η καταχώριση του Patchstack αποδίδει υψηλή προτεραιότητα και περιγράφει πιθανή πλήρη κατάληψη του ιστοτόπου όταν ο δράστης αποκτήσει αυξημένα δικαιώματα.
Αυτό σημαίνει ότι η επίθεση δεν περιορίζεται στην εμφάνιση ανεπιθύμητου περιεχομένου. Ένας λογαριασμός με αυξημένα δικαιώματα μπορεί να χρησιμοποιηθεί για αλλαγή ρυθμίσεων, εγκατάσταση άλλων πρόσθετων, τροποποίηση χρηστών ή πρόσβαση σε δεδομένα. Το τελικό αποτέλεσμα εξαρτάται από τα δικαιώματα που θα αποδοθούν και από τις υπόλοιπες άμυνες του ιστοτόπου.
Η καταχώριση του Patchstack αναφέρει ως ημερομηνία αναφοράς την 9η Αυγούστου και αποδίδει την ανακάλυψη στον ChuongVN. Στη χρονογραμμή εμφανίζεται επίσης ενημέρωση στις 24 Αυγούστου, γεγονός που δείχνει ότι οι διαχειριστές πρέπει να ελέγχουν την πιο πρόσφατη έκδοση και όχι να βασίζονται μόνο στην ημερομηνία δημοσίευσης μιας CVE.
Πώς επηρεάζονται οι ιστότοποι WordPress
Οι διαχειριστές συχνά επιτρέπουν σε συντάκτες, μεταφραστές ή συνεργάτες να εργάζονται στο περιεχόμενο χωρίς πρόσβαση σε κρίσιμες ρυθμίσεις. Η ευπάθεια TranslatePress είναι ιδιαίτερα σημαντική σε τέτοια περιβάλλοντα, επειδή η παραβίαση ενός χαμηλότερου λογαριασμού μπορεί να επεκτείνει την πρόσβαση πέρα από τον αρχικό ρόλο.
Το επίσημο πρόσθετο στο WordPress.org εμφανίζει την έκδοση 3.3.3 και καταγράφει πρόσφατες διορθώσεις ασφαλείας. Η σελίδα δεν συνδέει ρητά την έκδοση με την CVE-2026-78267, επομένως οι ομάδες που ερευνούν περιστατικό πρέπει να κρατήσουν αντίγραφο των αρχείων καταγραφής και να επιβεβαιώσουν την έκδοση πριν από κάθε συμπέρασμα.
Η απουσία ρητής αναφοράς στην CVE από το δημόσιο αρχείο αλλαγών δεν αποτελεί λόγο αναβολής. Σε εγκαταστάσεις που φιλοξενούν ηλεκτρονικό κατάστημα, ιστοσελίδα μέλους ή περιεχόμενο πολλών συντακτών, η έκθεση ενός πρόσθετου μετάφρασης μπορεί να επηρεάσει τόσο το περιεχόμενο όσο και τις διαδικασίες σύνδεσης.
Δείτε επίσης: WebToffee WooCommerce: Νέα ευπάθεια επιτρέπει ανάγνωση αρχείων
Σε έναν αρχικό έλεγχο, αξίζει να εξεταστούν οι πρόσφατες συνδέσεις χρηστών, οι αλλαγές ρόλων, οι νέες εγκαταστάσεις πρόσθετων και οι τροποποιήσεις στο wp-admin. Παράλληλα, πρέπει να ελεγχθούν οι λογαριασμοί που δεν χρειάζονται πλέον πρόσβαση και να ενεργοποιηθεί πολυπαραγοντική προστασία όπου υποστηρίζεται.
Οι έλεγχοι θα πρέπει να καλύπτουν και τα αντίγραφα ασφαλείας, ώστε να μη διατηρείται ένας τροποποιημένος κώδικας σε παλιό στιγμιότυπο που θα επανέλθει αργότερα. Η καταγραφή της τρέχουσας έκδοσης, των ενεργών χρηστών και των πρόσφατων αλλαγών δημιουργεί ένα σημείο αναφοράς για επανέλεγχο μετά την ενημέρωση.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Άμεση ενημέρωση και έλεγχος
Η βασική ενέργεια είναι η αναβάθμιση του TranslatePress στην έκδοση 3.3.3 ή νεότερη, αφού πρώτα ληφθεί αντίγραφο ασφαλείας και επιβεβαιωθεί η συμβατότητα με το θέμα και τα υπόλοιπα πρόσθετα. Σε περιβάλλον παραγωγής, η αλλαγή πρέπει να δοκιμαστεί σε αντίγραφο δοκιμαστικό περιβάλλον και να καταγραφεί από την ομάδα διαχείρισης.
Δείτε επίσης: Forminator Forms: Κρίσιμη ευπάθεια επηρεάζει ιστότοπος WordPresss
Μετά την αναβάθμιση, η ομάδα διαχείρισης πρέπει να επανεξετάσει τους ρόλους και να περιορίσει τα δικαιώματα στις απολύτως απαραίτητες λειτουργίες. Η προσωρινή απενεργοποίηση του πρόσθετου, όταν δεν είναι αναγκαίο για τη λειτουργία του ιστοτόπου, μπορεί να μειώσει την έκθεση μέχρι να ολοκληρωθεί ο έλεγχος.
Αν υπάρχουν ενδείξεις μη εξουσιοδοτημένης αλλαγής, η τεχνική ομάδα του SecNews προτείνει απομόνωση του ιστοτόπου, ανανέωση διαπιστευτηρίων, έλεγχο των διαχειριστικών λογαριασμών και αναζήτηση άγνωστων αρχείων ή πρόσθετων. Η ενημέρωση κλείνει το γνωστό μονοπάτι, αλλά ο έλεγχος παραμένει απαραίτητος για να διαπιστωθεί αν προηγήθηκε κατάχρηση.
