Resumo: O plugin Translate WordPress with Weglot, nas versões anteriores à 6.4.3, não escapa as URLs que reinsere na página ao reescrever links para o idioma traduzido e ainda desfaz a codificação aplicada antes. Com isso, um visitante não autenticado pode gravar um payload que executa no navegador de quem acessa a página em um idioma traduzido. Como o Weglot é muito usado em sites multilíngues e o XSS pode atingir administradores logados, a falha abre caminho para roubo de sessão e criação de contas indevidas.
Fonte: WPScan (via VulDB)
O que fazer: Atualize o Weglot para a versão 6.4.3 ou superior. Revise comentários, formulários e conteúdos enviados por visitantes em busca de URLs com scripts ou atributos como onerror/onload, e rode varredura com Wordfence ou Patchstack. Se possível, ative uma Content Security Policy que bloqueie scripts inline.