Bezpečnostní tým Patchstack zveřejnil závažnou zranitelnost typu Stored Cross-Site Scripting (CWE-79) v optimalizačním pluginu W3 Total Cache.
Plugin má více než 900 000 aktivních instalací a patří mezi nejpoužívanější řešení pro cachování a optimalizaci WordPress webů.
Zranitelnost umožňuje za určitých podmínek vložení škodlivého JavaScriptu do obsahu, který se následně zobrazí dalším uživatelům.
Problém spočívá v nedostatečném zabezpečení vstupních dat při generování HTML výstupu.
Podle zveřejněného bezpečnostního hodnocení může být zranitelnost zneužita bez přihlášení do WordPressu.
K samotnému spuštění škodlivého JavaScriptu je však nutná interakce uživatele, typicky zobrazení postižené stránky.
Možné následky
Úspěšné zneužití může umožnit:
- Spuštění škodlivého JavaScriptu v prohlížeči návštěvníka.
- Manipulaci se zobrazovaným obsahem webu.
- Přesměrování návštěvníků na podvodné stránky.
- Neoprávněné operace v kontextu přihlášeného uživatele.
- Potenciální kompromitaci administrátorské relace.
Zranitelnost sama o sobě automaticky neznamená úplné převzetí WordPress instalace.
Konkrétní vstupní bod a přesné podmínky zneužití nejsou ve veřejném záznamu Patchstacku podrobně popsány.
Aktivní zneužívání v reálných útocích ani dostupnost funkčního veřejného exploitu zatím nebyly potvrzeny. OpenCVE
Dostupnost bezpečnostní opravy
Zranitelnost je opravena ve verzi W3 Total Cache 2.11.0.
Dostupnost této verze potvrzuje oficiální repozitář WordPress.org.
Aktualizace obsahuje mimo jiné úpravy mechanismů HTML minifikace. Z veřejného changelogu však nelze jednoznačně určit konkrétní změnu, která odstraňuje CVE-2026-114178. WordPress.org
Doporučené kroky
- Doporučujeme bezodkladně aktualizovat W3 Total Cache minimálně na verzi 2.11.0.
- U webů, které provozovaly postižené verze, doporučujeme prověřit stránky obsahující uživatelsky zadávaná data.
- Je vhodné zkontrolovat neobvyklé HTML atributy a podezřelý JavaScript ve výsledném zdrojovém kódu stránek.
- Doporučujeme prověřit serverové logy a případné podezřelé požadavky.
- Po aktualizaci doporučujeme vymazat všechny vrstvy cache, včetně serverové cache a případné CDN.
- Pokud aktualizace není okamžitě možná, doporučujeme dočasně deaktivovat plugin nebo nasadit odpovídající ochranné pravidlo.
- U webů s podezřením na kompromitaci doporučujeme prověřit historii administrátorských operací a případné neoprávněné změny konfigurace WordPressu.
Zdroj: https://patchstack.com/database/wordpress/plugin/w3-total-cache/vulnerability/wordpress-w3-total-cache-plugin-2-10-7-cross-site-scripting-xss-vulnerability
