CVE-2026-120019

Nome do Software Vulnerável e Versões Afetadas W3 Total Cache versões anteriores a 2.10.8

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro comment. A exploração requer que o recurso HTML Minify esteja habilitado com a entrada padrão 'mfunc' na lista de stems de comentários ignorados. Além disso, o atacante deve prever o namespace do placeholder md5(time()) analisando o relógio do servidor através do cabeçalho de resposta HTTP Date.

Recomendações Atualize o W3 Total Cache para a versão 2.10.8 ou posterior. Como mitigação temporária, desative o recurso HTML Minify.