CVE-2026-87920

Nome do Software Vulnerável e Versões Afetadas W3 Total Cache versões anteriores a 2.10.7

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas por meio do conteúdo de comentários. Este problema é desencadeado por um Output-Buffer Regex Rewrite e só é explorável quando a opção 'Remove query strings from static resources' está habilitada. Nesta configuração, a função mutate url() remove o delimitador '?' e os caracteres subsequentes, o que pode quebrar o limite do atributo e permitir a execução de scripts quando um usuário acessa a página afetada.

Recommendations Atualize o W3 Total Cache para uma versão posterior à 2.10.6. Desative a opção 'Remove query strings from static resources' para mitigar o risco de exploração.