W3 Total Cache: запис довільних файлів без авторизації (CVE-2026-18051)
У плагіні W3 Total Cache для WordPress знайдено вразливість CVE-2026-18051 (CVSS 10). Плагін некоректно перевіряє шлях запиту під час побудови імен файлів кешу.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із плагіном W3 Total Cache версій до 2.10.5. Атакувати може неавтентифікований користувач: він може записати файл в будь-яку наявну директорію на сервері, всередині або поза коренем сайту, і перезаписати файл з тією самою назвою.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» і перевірте версію W3 Total Cache. Якщо вона нижча за 2.10.5, сайт вразливий. На Apache також перевірте, чи не змінилися файли .htaccess.
Як виправити
Виправлення є: оновіть W3 Total Cache до версії 2.10.5 або новішої. На Apache перезапис .htaccess ламає сайт і може зняти захисні правила, тому після оновлення перевірте ці файли.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про те, чи експлуатується вразливість у реальних атаках, поки не розкриті. Джерело: NVD.
