TranslatePress 3.3.2 stopft Übernahme-Lücke: 400.000 WordPress-Sites mit Zweitsprache brauchen jetzt das Update
Wordfence hat in dem Übersetzungs-Plugin die kritische Lücke CVE-2026-19632 gemeldet, weil Passwort-Reset-Links im Sekundärsprach-Wörterbuch abgelegt wurden. Der Fix läuft seit 13. August, angreifbar ist die Site ohne Login.
Der Übersetzungs-Klassiker TranslatePress hat seit Mittwoch, 13. August, ein Update auf Version 3.3.2 draußen, das eine kritische Übernahme-Lücke schließt. Die Sicherheitsfirma Wordfence stuft den Fehler unter CVE-2026-19632 mit einem CVSS-Wert von 9.8 ein. Betroffen sind laut Wordfence rund 400.000 aktive Installationen, bei denen im Adminprofil eine veröffentlichte Zweitsprache eingestellt ist.
Wie die Lücke funktioniert
TranslatePress schneidet in der Standardkonfiguration neue Zeichenketten automatisch mit, damit sie später übersetzt werden können. Zu diesen automatisch gespeicherten Strings gehörten auch die einmaligen Passwort-Reset-URLs, die WordPress per Mail verschickt. Sie landeten damit im Übersetzungs-Wörterbuch der Sekundärsprache, das ein AJAX-Endpunkt trp_get_translations_regular ohne Login herausgibt.
Ein Angreifer stößt also selbst einen Passwort-Reset für einen bekannten Admin-Nutzernamen an, ruft das Übersetzungs-Wörterbuch ab, fischt den Reset-Link heraus und setzt das Passwort neu. Danach hat er einen Admin-Zugang, kann eigene Benutzerkonten anlegen, Schadplugins hochladen oder die Seite als Malware-Schleuder umbauen.
Voraussetzung: Zweitsprache im Adminprofil
Angreifbar ist eine Site nur, wenn im Profil des betroffenen Admins die veröffentlichte Sekundärsprache aktiv ist, nicht die Standard-Websitesprache. Bei einem reinen Übersetzungs-Plugin ist das kein exotischer Fall, sondern bei mehrsprachig arbeitenden Redaktionen eher der Regelfall. Genau darauf zielt die Einstufung mit dem maximal möglichen 9.8-Score ab.
Timeline
Wordfence bekam den Bericht von Sicherheitsforscher momopon1415 am 11. August 2026, benachrichtigte den Hersteller Cozmoslabs am 12. August und dokumentierte den Release der bereinigten Version 3.3.2 am 13. August. Für den verantwortlich gemeldeten Fund gingen 975 US-Dollar aus dem Wordfence-Bug-Bounty-Programm an den Finder.
Was heute konkret zu tun ist
- Update auf 3.3.2 auf allen betreuten Kundenseiten. Vor 3.3.2 ist jedes Setup mit veröffentlichter Zweitsprache im Adminprofil verwundbar.
- Admin-Passwörter neu setzen, wenn TranslatePress bei einem Kundenprojekt im Einsatz war und die Sekundärsprache aktiv ist. Ein bereits abgegriffener Reset-Link könnte im Übersetzungs-Wörterbuch geschlummert haben.
- Logs auf unauthentifizierte Aufrufe von
trp_get_translations_regularin den Tagen vor dem Update prüfen, gerade wenn Wordfence oder eine andere WAF Ausschläge zeigt. - Automatisches String-Speichern im TranslatePress-Backend im Blick behalten. Es bleibt praktisch, sammelt aber gerne unabsichtlich mit.
Wer regelmäßig Webdesign-Leads über findflix pflegt, kann die Meldung außerdem als Anlass für den nächsten Kundenkontakt nutzen: eine kurze Nachricht, dass die eigene Agentur den Patch schon eingespielt hat, beruhigt Stammkunden und öffnet die Tür zu Ex-Interessenten mit alter Site.