CVE-2026-78438 in W3 Total Cache Plugin
Résumé
par VulDB • 05/09/2026
Le plugin W3 Total Cache pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via le contenu des commentaires par l'intermédiaire du LazyLoad Background Mutator, dans toutes les versions jusqu'à la 2.10.5 incluse, en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. Cette exploitation nécessite que la fonctionnalité "Lazy Load Images" avec l'option "Process background images" soit activée, et que le commentaire malveillant soit approuvé par un modérateur avant que l'exécution ne soit déclenchée.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.