CVE-2026-15005
El plugin Loco Translate para WordPress es vulnerable a Cross-Site Request Forgery (CSRF) en todas las versiones hasta y inclusive la 2.8.5. Esto se debe a la falta o a la validación incorrecta del nonce en la función execTemplate. Esto permite que atacantes no autenticados ejecuten código PHP arbitrario en el servidor al proporcionar un URI de php://filter como parámetro 'template', lo cual evade la validación de ruta y es pasado directamente al include sink en execTemplate() a través de una solicitud falsificada, siempre que puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org