CVE-2026-78438 in W3 Total Cache Plugin
Sumário
de VulDB • 05/09/2026
O plugin W3 Total Cache para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via conteúdo de comentário através do LazyLoad Background Mutator em todas as versões até 2.10.5, devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Para isso, é necessário que o recurso "Lazy Load Images" com a opção "Process background images" esteja habilitado e que o comentário malicioso seja aprovado por um moderador antes que a execução seja acionada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.