CVE-2026-114178

Wtyczka W3 Total Cache dla WordPressa przed wersją 2.10.5 nieprawidłowo weryfikuje ścieżkę żądania używaną do budowania nazw plików pamięci podręcznej, co pozwala nieuwierzytelnionym atakującym na zapis pliku do dowolnego istniejącego katalogu na serwerze, wewnątrz lub na zewnątrz katalogu głównego, nadpisując to, co zajmuje docelową nazwę. Na Apache, ta sama wada nadpisuje pliki .htaccess witryny, co psuje witrynę i może usunąć reguły wzmacniające, na których polegają inne środki bezpieczeństwa.

Wtyczka W3 Total Cache w wersjach do 2.9.4 zawiera krytyczną podatność umożliwiającą nieuwierzytelnionemu atakującemu zdalne wykonanie dowolnego kodu. Luka ta wynika z braku odpowiedniej walidacji danych wejściowych w mechanizmie buforowania.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonej minifikacji HTML z domyślnym wpisem 'mfunc' na liście ignorowanych komentarzy, a wykorzystanie zależy od przewidzenia przez atakującego przestrzeni nazw md5(time()) poprzez odczyt zegara serwera z nagłówka HTTP Date w odpowiednim oknie czasowym.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 2.10.7 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to wcześniej aktywnej licencji Pro z włączonym buforowaniem REST, która stała się nieaktywna, ale buforowanie stron Disk Enhanced pozostaje skonfigurowane, oraz atakujący musi mieć wcześniej zatwierdzoną tożsamość komentatora.

Wtyczka W3 Total Cache dla WordPressa przed wersją 2.10.6 nie ogranicza kopiowania plików podczas importu mediów do katalogu głównego dokumentu ani nie egzekwuje skutecznego ograniczenia typu pliku, co pozwala użytkownikom z rolą Author lub wyższą na umieszczenie treści, która po uruchomieniu importu przez administratora kopiuje dowolny plik czytelny dla serwera do publicznie dostępnego katalogu, narażając go na nieuwierzytelnione pobranie.

Wtyczka W3 Total Cache dla WordPress jest podatna na przechowywany cross-site scripting (XSS) poprzez treść komentarza i regexową przepisanie bufora wyjściowego we wszystkich wersjach do 2.10.6 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy opcja 'Remove query strings from static resources' jest włączona w W3 Total Cache.

Wtyczka W3 Total Cache dla WordPressa jest podatna na przechowywany atak XSS przez treść komentarza za pomocą LazyLoad Background Mutator we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Wymaga to włączenia funkcji "Lazy Load Images" z opcją "Process background images" oraz zatwierdzenia złośliwego komentarza przez moderatora przed wyzwoleniem wykonania.

Wtyczka W3 Total Cache dla WordPressa do wersji 2.10.3 włącznie jest podatna na trwały atak XSS przez nazwę autora komentarza z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Atak jest możliwy tylko gdy włączona jest funkcja Lazy Load Images, ponieważ niebezpieczne ponowne wyświetlenie występuje wyłącznie w kroku przepisywania tagów img w mutatorze LazyLoad.

Podatność Path Traversal w wtyczce W3 Total Cache w wersjach do 2.10.2 pozwala nieuwierzytelnionemu atakującemu na dostęp do plików poza katalogiem głównym.

Wtyczka W3 Total Cache dla WordPressa do wersji 2.9.4 włącznie jest podatna na przechodzenie do katalogów (Directory Traversal) poprzez funkcję setupSources. Niezalogowani atakujący mogą odczytać zawartość dowolnych plików na serwerze, co może ujawnić wrażliwe informacje. Wykorzystanie podatności wymaga włączenia trybu ręcznej minifikacji i podania odpowiedniej nazwy pliku minifikacji.