CVE-2026-120019: Stored XSS in W3 Total Cache fino a 2.10.7

Il CVE-2026-120019 è una vulnerabilità di Stored Cross-Site Scripting (XSS) nel plugin W3 Total Cache per WordPress, ampiamente installato da sysadmin per ottimizzare cache e performance. La falla risiede nella gestione insufficiente del parametro 'comment': un attaccante non autenticato può iniettare codice JavaScript che persiste sul server e si esegue nel browser di ogni visitatore, compromettendo sessioni, credenziali o dati sensibili.

CVSS è 5,4 (medium), ma il contesto è rilevante: l'XSS è stored (persistente, non riflesso) in un plugin presente su milioni di siti WordPress. Tuttavia, l'exploit ha prerequisiti specifici e complessi: HTML Minify deve essere attivo, 'mfunc' deve essere nella lista ignored-comment stems (configurazione di default), e l'attaccante deve indovinare il namespace md5(time()) leggendo l'header Date HTTP entro una finestra temporale ristretta. La vulnerabilità è nota da NVD dal 31 ottobre 2026; il 4 novembre sono apparsi riferimenti su GitHub, segnale che il CVE sta circolando nella comunità.

Per i difensori: verificare immediatamente quale versione di W3 Total Cache è installata in tutti i siti WordPress gestiti. Controllare se HTML Minify è abilitato nelle impostazioni del plugin; se lo è, disabilitarlo temporaneamente finché non è disponibile una patch ufficiale. Monitorare i log di accesso e i commenti per attività anomale o script sospetti. Pianificare l'aggiornamento alla versione successiva a 2.10.7 non appena disponibile. Verificare che il WAF aziendale sia configurato per rilevare e bloccare tentativi di XSS.