CVE-2026-1921

Existe una debilidad de seguridad en las versiones del plugin Loco Translate hasta 2.8.2, que permite a los atacantes con acceso de nivel Traductor o superior leer archivos no autorizados en el servidor. Esto se debe a un fallo en la validación adecuada de las rutas de entrada del usuario cuando se resuelven referencias de archivo a través de la ruta AJAX `fsReference`. Como resultado, los usuarios maliciosos pueden acceder a archivos sensibles como scripts PHP y datos de configuración fuera de los directorios de traducción designados.

Basado en datos públicos de CVE (MITRE/NVD).