Reflected XSS-kwetsbaarheid in WPML Multilingual CMS-plugin voor WordPress (CVE-2023-54413)

Wat is er gebeurd

Er is een reflected XSS-kwetsbaarheid aangetroffen in de WPML Multilingual CMS-plugin voor WordPress, die versies vóór 4.6.1 treft. De kwetsbaarheid zit in de manier waarop de plugin de wp_lang-parameter verwerkt. Een aanvaller kan een kwaadaardige link naar /wp-login.php maken met een speciaal geconstrueerde wp_lang-waarde die een image-inputelement injecteert met een versluierde onfocus-eventhandler. Wanneer een slachtoffer in zijn browser met dit element interacteert (bijvoorbeeld door op de geprepareerde link te klikken en de handler te activeren), kan willekeurige JavaScript worden uitgevoerd binnen de context van de sessie van het slachtoffer.

Technische oorzaak

De kwetsbaarheid valt onder CWE-79 (onjuiste neutralisatie van invoer tijdens het genereren van webpagina's / cross-site scripting). De oorzaak is onvoldoende sanering van de wp_lang-parameter voordat deze wordt teruggekaatst in de paginauitvoer, waardoor een aanvaller HTML/JavaScript-inhoud kan injecteren die in de browser van het slachtoffer wordt uitgevoerd zodra de geprepareerde invoer wordt verwerkt.

Waarom dit belangrijk is

Dit is een reflected XSS-kwetsbaarheid die zonder authenticatie kan worden misbruikt, wat betekent dat een aanvaller geen geldige inloggegevens nodig heeft om een poging te wagen. Wel is gebruikersinteractie vereist — een slachtoffer moet op een geprepareerde link klikken of deze volgen en het geïnjecteerde element activeren. Omdat WPML een populaire plugin is die op een groot aantal WordPress-sites wordt gebruikt, is het potentiële aanvalsoppervlak breed. Succesvolle exploitatie kan een aanvaller in staat stellen scripts uit te voeren binnen de browsersessie van een slachtoffer, wat kan leiden tot sessiemanipulatie of andere client-side gevolgen, al wordt de impact op vertrouwelijkheid en integriteit in de CVSS-vector als laag beoordeeld.

Ontdekking en tijdlijn

Volgens het feitenpakket werd exploitatiebewijs voor het eerst waargenomen door de Shadowserver Foundation op 2025-11-12. Verdere details over de ontdekking of de openbaarmakingstijdlijn zijn niet beschikbaar in de huidige gegevens. Het advies zelf werd gepubliceerd op 2026-10-22.

Getroffen versies

WPML (pakketnaam: sitepress-multilingual-cms) versies vóór 4.6.1 zijn getroffen door deze kwetsbaarheid.

Fixes en mitigatie

Het feitenpakket vermeldt 4.6.1 als bovengrens van het getroffen versiebereik, maar geeft expliciet aan dat 'fix_available' op false staat en er geen bevestigde gefixte versies worden vermeld. Dit is een opvallende inconsistentie in de brongegevens: hoewel 4.6.1 als bovengrens van het getroffen bereik verschijnt, is er geen bevestiging dat deze versie daadwerkelijk een fix bevat of momenteel beschikbaar is voor gebruikers. Op basis van de beschikbare informatie kunnen we niet met zekerheid vaststellen dat updaten het probleem oplost.

Aanbevolen actie

Beheerders van sites met WPML wordt aangeraden de officiële kanalen van de plugin-ontwikkelaar in de gaten te houden voor een bevestigde beveiligingsupdate, aangezien de fixstatus niet kon worden geverifieerd op basis van de beschikbare gegevens. In de tussentijd kunnen beheerders overwegen de toegang tot wp-login.php te beperken of te monitoren, en gebruikers te waarschuwen om niet op onbetrouwbare of onverwachte links te klikken, aangezien dit de kans op succesvolle exploitatie verkleint gezien de vereiste gebruikersinteractie.