Auf mehr als 400.000 WordPress-Webseiten kommt das Plug-in TranslatePress zum Einsatz. IT-Forscher haben darin eine Sicherheitslücke entdeckt, die Angreifern die Übernahme von Konten einschließlich Admin-Konto und in der Folge die Übernahme der WordPress-Instanz ermöglicht. Im Plug-in miniOrange SAML klafft teils noch immer eine Sicherheitslücke, die ähnliche Auswirkungen hat – und IT-Sicherheitsforscher sehen bereits Angriffsversuche darauf.
Das IT-Sicherheitsunternehmen Wordfence warnt aktuell vor einem Sicherheitsleck in TranslatePress, durch das nicht authentifizierte Angreifer aus dem Netz an einen Passwort-Rücksetzen-Link etwa für Admin-Konten gelangen, das Passwort damit ändern und schließlich die WordPress-Instanz übernehmen können. Als Einschränkung merken die Analysten an, dass die Schwachstelle nur dann auftritt, wenn im Admin-Profil eine zweite Sprache eingestellt wurde. Da es sich um ein Übersetzungsmodul handelt, könnte die Wahrscheinlichkeit für diese Konfigurationsoption höher liegen (CVE-2026-19632, CVSS 9.8, Risiko „kritisch“). Version 3.3.2 und neuer des Plug-ins korrigieren diesen Fehler.
Single-Sign-On-Plug-in miniOrange SAML 2.0 attackiert
Das zur Zugangsverwaltung eingesetzte WordPress-Plug-in miniOrange SAML 2.0 ist von zwei Sicherheitslücken betroffen, die bereits im Juli beziehungsweise Mitte August bekannt wurden (CVE-2026-15981, CVSS 9.8, Risiko „kritisch“; CVE-2026-61979, CVSS 8.1, Risiko „hoch“). Die IT-Sicherheitsfirma Patchstack schreibt nun dazu, dass diese Lücke ebenfalls nicht authentifizierten Angreifern ermöglicht, als beliebige User in „/wp-admin“ zu landen und damit die Kontrolle über die Instanz zu übernehmen. Die Schwachstelle wurde zwar ausgebessert, jedoch könnten viele Unternehmenskunden nicht mitbekommen haben, dass ihre Instanzen anfällig sind und einige davon zudem noch veraltete, verwundbare Softwarestände aufweisen.
