CVE-2026-120019 in W3 Total Cache Plugin
Zusammenfassung
von VulDB • 31.10.2026
Das W3 Total Cache-Plugin für WordPress ist in allen Versionen bis einschließlich 2.10.7 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping anfällig für Stored Cross-Site Scripting (XSS) über den 'comment'-Parameter. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Die Ausnutzung erfordert, dass HTML Minify aktiviert ist und der Standard-Eintrag 'mfunc' in der Liste der ignorierten Kommentar-Stämme vorhanden ist; zudem hängt die Exploitation davon ab, dass der Angreifer den md5(time())-Platzhalter-Namespace vorhersagen kann, indem er die Serveruhr über den HTTP Date-Antwortheader innerhalb des relevanten Zeitfensters ausliest.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.