Kurzfassung
In dem WordPress-Plugin TranslatePress steckt eine kritische Schwachstelle, die bis einschließlich Version 3.3.1 reichen soll. Unter bestimmten Konstellationen können Angreifer ohne Anmeldung eine Admin-Reset-URL auslesen und damit am Ende ein WordPress-Konto mit Administratorrechten übernehmen.
Für Betreiber im DACH-Raum ist das vor allem dann brisant, wenn TranslatePress produktiv läuft und automatische String-Speicherung aktiv ist. Wer das Plugin im Einsatz hat, sollte die Version prüfen und den Herstellerhinweis zum Patch sofort nachziehen. Für die meisten Privatnutzer ist das Thema nur relevant, wenn sie eine WordPress-Seite selbst betreiben.
Was ist passiert?
Die Schwachstelle läuft unter CVE-2026-19632 und betrifft das Plugin „TranslatePress – Translate Multilingual sites with AI Translation“ für WordPress. Laut NVD liegt das Problem in einer AJAX-Funktion, über die sensible Daten auslesbar werden können. Der Effekt ist unangenehm klar: Ein externer Angreifer kann ohne gültigen Login an Informationen kommen, die eigentlich nicht öffentlich sein dürfen.
Besonders heikel ist, dass dabei eine Administrator-Reset-URL mit Klartext-Reset-Key und weiteren Login-Parametern offengelegt werden kann. Damit ist kein direkter Exploit im klassischen Sinn nötig. Wer an diese Daten kommt, kann den Passwort-Reset missbrauchen und sich anschließend Zugriff auf das Admin-Konto verschaffen.
Technische Details
Betroffen sind alle Versionen bis einschließlich 3.3.1. Auslösbar ist das Problem über die AJAX-Aktion trp_get_translations_regular. Der Angriff funktioniert laut Quelle nur unter zwei Bedingungen: Die automatische Speicherung von Zeichenketten ist aktiviert, und das Profil des Ziel-Administrators nutzt eine veröffentlichte Zweitsprache als Locale.
Genau diese Kombination sorgt dafür, dass die Passwort-Reset-URL als übersetzbarer String in der Dictionary-Tabelle landet. Dort kann sie dann von außen wieder abgegriffen werden. Dass der Fehler an einer eher unscheinbaren Stelle sitzt, macht ihn in der Praxis tückisch. Solche Leaks fallen in Tests oft erst spät auf, im Betrieb aber umso schmerzhafter.
Der NVD-Eintrag bewertet die Lücke als kritisch. Eine CVSS-Bewertung nennt die Quelle im Auszug nicht. Ob der Hersteller inzwischen eine korrigierte Version veröffentlicht hat, geht aus dem bereitgestellten Text ebenfalls nicht hervor.
Wer ist betroffen?
Direkt betroffen sind WordPress-Betreiber, die TranslatePress einsetzen. Das gilt besonders für Mehrsprachigkeits-Websites mit aktivierter automatischer String-Speicherung. Wer zusätzlich Administrationskonten mit einer veröffentlichten sekundären Sprache nutzt, erhöht die Angriffsfläche weiter.
Für Unternehmen in Deutschland, Österreich und der Schweiz ist das keine theoretische Randnotiz. WordPress steckt in vielen Webauftritten, und ein kompromittiertes Admin-Konto reicht oft für komplette Übernahmen, Schadcode-Injektion oder SEO-Spam. Wenn TranslatePress im Einsatz ist, sollte die Lücke deshalb auf die Prioritätenliste ganz nach oben.
Privatnutzer sind nur dann betroffen, wenn sie selbst eine WordPress-Seite betreiben. Für reine Endanwender ohne eigenes CMS-Backend spielt CVE-2026-19632 keine Rolle.
Empfohlene Maßnahmen
Erstens: Installierte TranslatePress-Version sofort prüfen. Liegt die Version bei 3.3.1 oder darunter, muss der Betreiber den Herstellerhinweis und ein verfügbares Update umgehend umsetzen. Wartungsfenster verschieben bringt hier wenig, denn ein Admin-Reset-URL-Leak ist kein kosmetisches Problem.
Zweitens: Automatische String-Speicherung abschalten, wenn sie nicht zwingend gebraucht wird. Laut Quelle ist genau diese Funktion Teil der Ausnutzung. Das ist kein Ersatz für ein Update, senkt aber das Risiko sofort.
Drittens: Administrationskonten auf ungewöhnliche Reset-Vorgänge und Login-Auffälligkeiten prüfen. Wer Zugriff auf die Webserver-Logs und WordPress-Logs hat, sollte Anfragen an die genannte AJAX-Aktion besonders ansehen. Nach einem Verdacht zählt Geschwindigkeit: Passwort der betroffenen Konten ändern, Sitzungen abmelden, Plugin-Version hart nachziehen und die Seite auf Manipulation prüfen.
Einschätzung von CyberSecurity-News.de
Die Lücke ist ernst. Nicht wegen eines spektakulären Exploits, sondern weil sie an einem simplen Punkt ansetzt: sensible Daten landen dort, wo sie nie hätten liegen dürfen. Genau solche Fehler führen in WordPress-Umgebungen regelmäßig zu echten Betriebsproblemen.
Was wir kritisch sehen: Aus der Quelle geht nicht hervor, ob bereits ein Patch verfügbar ist oder wie weit die Ausnutzung in freier Wildbahn fortgeschritten ist. Das ist für Betreiber unbefriedigend. Trotzdem sollte niemand auf weitere Details warten. Wer TranslatePress produktiv nutzt, handelt jetzt.
Für den DACH-Raum ist die Relevanz hoch, wenn WordPress Teil des geschäftlichen Auftritts ist. Kleine und mittlere Unternehmen sind hier oft zu langsam mit Plugin-Updates. Das ist der eigentliche Risikotreiber, nicht die Schwachstelle allein.
Fazit
CVE-2026-19632 zeigt einmal mehr, wie schnell ein Plugin-Fehler zu einer kompletten Kontoübernahme führen kann. Betroffen sind TranslatePress-Installationen bis 3.3.1, sofern die beschriebenen Zusatzbedingungen erfüllt sind. Das reicht für ein echtes Sicherheitsproblem, besonders auf produktiven WordPress-Seiten.
Wer TranslatePress einsetzt, sollte jetzt Version, Konfiguration und Logs prüfen. Wenn automatische String-Speicherung aktiv ist, ist der Handlungsdruck höher. Ein Update und eine kurze Nachkontrolle sind hier Pflicht, kein Nice-to-have.
