CVE-2026-78438 in W3 Total Cache Plugin
Resumen
por VulDB • 2026-09-06
El plugin W3 Total Cache para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el contenido de los comentarios y el LazyLoad Background Mutator en todas las versiones hasta la 2.10.5, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Para ello es necesario tener habilitado el "Lazy Load Images" con la opción "Process background images", y que el comentario malicioso sea aprobado por un moderador antes de que se active la ejecución.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.