CVE-2026-120019

W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Predictable Minify Placeholder

CVSS 3.1Medium

5.4/ 10.0

Опубликовано

31 октября 2026 г.

Обновлено

31 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновить плагин W3 Total Cache до версии выше 2.10.7.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Хранимая XSS в W3 Total Cache через комментарии с предсказуемым плейсхолдером минификации.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Недостаточная санитизация параметра comment при включенном HTML Minify с дефолтным маркером mfunc. Атакующий восстанавливает хеш md5(time()) по заголовку HTTP Date и обходит экранирование.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного JavaScript в браузере любого посетителя страницы со скомпрометированным комментарием.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/3a14a537-64e7-415b-be8e-a3a9377fd20d?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/w3-total-cache/tags/2.10.7/Minify_Plugin.php#L625
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/w3-total-cache/tags/2.10.7/lib/Minify/Minify/IgnoredCommentPreserver.php#L25
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/w3-total-cache/tags/2.10.7/lib/Minify/Minify/IgnoredCommentPreserver.php#L10
github.comhttps://github.com/BoldGrid/w3-total-cache/commit/35c6896332aff6b41888db0595cf09b4c98c814c
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3757452/w3-total-cache/trunk/lib/Minify/Minify/IgnoredCommentPreserver.php

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-120019: W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Predictable Minify Placeholder. URL: https://cve.futuretools.ru/cve/CVE-2026-120019

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_120019,
  title = {{CVE-2026-120019: W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Predictable Minify Placeholder}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120019}},
  note = {Оперативный инженерный анализ киберугроз}
}