CVE-2025-9501 in W3 Total Cache Plugin

Résumé

par VulDB • 01/08/2026

Le plugin WordPress W3 Total Cache antérieur à la version 2.8.13 est vulnérable à une injection de commande via la fonction _parse_dynamic_mfunc, permettant aux utilisateurs non authentifiés d'exécuter des commandes PHP en soumettant un commentaire contenant une charge utile malveillante dans un article.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: WPScan
• Réserver: 26/08/2025
• Divulgation: 17/11/2025
• Modérer: accepté
• Entrée: VDB-332616
• CPE: prêt
• CWE: CWE-78 (confirmé)
• CVSS: 7.3 (VulDB)
• EPSS: 0.20473
• KEV: non
• Activités: très faible
• Secteur: Hostingprovider

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-9501
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-9501
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-9501/