CVE-2026-1921
El plugin Loco Translate para WordPress es vulnerable a Path Traversal en todas las versiones hasta y inclusive la 2.8.2 a través de la ruta AJAX `fsReference`. Esto se debe al método `findSourceFile()` que normaliza los caminos `ref` proporcionados por el usuario que contienen secuencias de navegación entre directorios `../` sin validar que el camino resuelto permanezca dentro del directorio de paquete o contenido intencionado. Esto permite a atacantes autenticados, con acceso nivel Translator (capacidad personalizada `loco_admin` requerida, otorgada por defecto al rol `translator` y administradores), leer archivos arbitrarios `.php`, `.js`, `.json` y `.twig` del sistema de archivos del servidor fuera del directorio de traducción intencionado. Los archivos con el nombre wp-config.php están excluidos.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org