Eklenti güvenlik geçmişi
W3 Total Cache güvenlik açıkları
ABD Ulusal Güvenlik Açığı Veritabanı’nda (NVD) W3 Total Cache eklentisi için 20 açık kaydı bulunuyor; en yenisi 2 Ekim 2026 tarihli. Bunların 12 tanesi kritik veya yüksek önemde, 15 tanesi oturum açmadan istismar edilebiliyor. Güncel sürüm 2.10.7.
- Toplam kayıt
- 20
- Kritik veya yüksek
- 12
- Oturumsuz istismar
- 15
- Son kayıt
- 2 Ekim 2026
Bilinen açık kayıtları
En yeniden eskiye. Her kaydın özgün metni NVD’de.
depolanmış siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.10.6 ve öncesi · Oturum açmadan istismar edilebilir
WordPress için geliştirilen “W3 Total Cache” eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle, 2.10.6 sürümü dahil olmak üzere bu sürüme kadar olan tüm sürümlerinde, Yorum İçeriği yoluyla Çıktı Tamponu Düzenlemesi (Output-Buffer Regex Rewrite) yöntemiyle gerçekleştirilen Depolanmış Siteler Arası Komut Yürütme (Stored Cross-Site Scripting) saldırılarına karşı savunmasızdır. Bu durum, kimlik doğrulaması yapılmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web komut dosyaları enjekte etmesine olanak tanır. Bu güvenlik açığı, yalnızca W3 Total Cache adresinde "Statik kaynaklardan sorgu dizelerini kaldır" seçeneği etkinleştirildiğinde istismar edilebilir; çünkü mutate_url() işlevi, öznitelik sınırını aşmak için '?' ayırıcısını ve onu takip eden her şeyi — dış özniteliğin kapanış tırnağı dahil — kaldırmak zorundadır.
Türkçe kayıt ve ne yapmalıdepolanmış siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.10.5 ve öncesi · Oturum açmadan istismar edilebilir
WordPress için geliştirilen “W3 Total Cache” eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle, 2.10.5 sürümü dahil olmak üzere tüm sürümlerinde “LazyLoad Background Mutator” aracılığıyla yorum içeriğinden kaynaklanan “Stored Cross-Site Scripting” (SSS) saldırısına açıktır. Bu durum, kimlik doğrulaması yapılmamış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalıştırılacak şekilde sayfalara rastgele web komut dosyaları enjekte etmesine olanak tanır. Bunun gerçekleşmesi için, "Lazy Load Images" özelliğinin "Process background images" seçeneği ile birlikte etkinleştirilmiş olması ve kötü amaçlı yorumun, yürütme tetiklenmeden önce bir moderatör tarafından onaylanması gerekir.
dizin geçişi (path traversal)
Etkilenen sürümler: 2.10.5 öncesi · Oturum açmadan istismar edilebilir
2.10.5 sürümünden önceki W3 Total Cache WordPress eklentisi, önbellek dosya adlarını oluşturmak için kullandığı istek yolunu düzgün bir şekilde doğrulamadığından, kimlik doğrulaması yapılmamış saldırganların sunucudaki web kök dizininde veya dışında bulunan herhangi bir mevcut dizine dosya yazmasına ve hedef adla eşleşen her ne varsa üzerine yazmasına olanak tanır. Apache'de ise aynı güvenlik açığı, sitenin .htaccess dosyalarının üzerine yazarak sitenin çalışmasını engeller ve diğer güvenlik önlemlerinin dayandığı güçlendirme kurallarını ortadan kaldırabilir.
depolanmış siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.10.3 ve öncesi · Oturum açmadan istismar edilebilir
WordPress için geliştirilen “W3 Total Cache” eklentisi, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 2.10.3 sürümüne kadar (bu sürüm dahil) tüm sürümlerinde, Yorum Yazar Adı yoluyla gerçekleştirilen Depolanmış Siteler Arası Komut Ekleme (Stored Cross-Site Scripting) saldırılarına karşı savunmasızdır. Bu durum, kimlik doğrulaması yapılmamış saldırganların sayfalara rastgele web komut dosyaları enjekte etmesine ve bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde bu komut dosyalarının çalıştırılmasına olanak tanır. Bu güvenlik açığı, yalnızca W3 Total Cache adresindeki "Lazy Load Images" özelliği etkinleştirildiğinde istismar edilebilir; zira güvenli olmayan yeniden yayınlama işlemi, yalnızca LazyLoad mutatörünün img etiketini yeniden yazma adımında gerçekleşmektedir.
dizin geçişi (path traversal)
Etkilenen sürümler: 2.10.2 ve öncesi · Oturum açmadan istismar edilebilir
W3 Total Cache'ın 2.10.2 ve önceki sürümlerinde kimlik doğrulaması yapılmamış yol geçişi.
dizin geçişi (path traversal)
Etkilenen sürümler: 2.9.4 ve öncesi · Oturum açmadan istismar edilebilir
WordPress için geliştirilen “W3 Total Cache” eklentisi, 2.9.4 sürümü dahil olmak üzere tüm sürümlerinde “setupSources” işlevi aracılığıyla Dizin Geçişi (Directory Traversal) güvenlik açığına maruz kalmaktadır. Bu durum, kimlik doğrulaması yapılmamış saldırganların sunucudaki hassas bilgiler içerebilecek rastgele dosyaların içeriğini okumasına imkân vermektedir. Bu güvenlik açığından yararlanmak için, manuel minify modunun etkinleştirilmesi ve manuel formatlı bir minify dosya adının belirtilmesi gerekir; böylece hash boş kalır ve setupSources() işlevine ulaşılmadan önce f_array[] girdileri üzerine yazılmaz.
güvenlik
Etkilenen sürümler: 2.9.4 ve öncesi · Oturum açmadan istismar edilebilir
W3 Total Cache'ın 2.9.4 ve önceki sürümlerinde kimlik doğrulaması yapılmamış rastgele kod yürütme.
eksik yetki denetimi
Etkilenen sürümler: 2.9.1 ve öncesi
W3 Total Cache'in 2.9.1 ve önceki sürümlerinde görülen "Broken Access Control" sorunu.
uzaktan kod çalıştırma
Etkilenen sürümler: 2.9.3 ve öncesi · Oturum açmadan istismar edilebilir
WordPress için geliştirilen “W3 Total Cache” eklentisi, 2.9.3 sürümü dahil olmak üzere tüm sürümlerinde bilgi sızıntısına karşı savunmasızdır. Bu durum, isteğin User-Agent başlığında "W3 Total Cache" ifadesi bulunduğunda eklentinin tüm çıktı tamponlama ve işleme sürecini atlamasından kaynaklanmaktadır; bu da, W3TC_DYNAMIC_SECURITY güvenlik belirtecini de içeren ham mfunc/minclude dinamik parça HTML yorumlarının sayfa kaynağında görüntülenmesine neden olmaktadır. Bu durum, sitenin parça önbellekleme özelliği etkin olduğu sürece, kimlik doğrulaması yapılmamış saldırganların, geliştirici tarafından yerleştirilmiş dinamik parça etiketleri içeren herhangi bir sayfaya özel olarak hazırlanmış bir User-Agent başlığı göndererek W3TC_DYNAMIC_SECURITY sabitinin değerini keşfetmelerine olanak tanır. Sızan W3TC_DYNAMIC_SECURITY belirtecini kullanarak bir saldırgan, sunucuda rastgele PHP kodu çalıştırmak üzere geçerli mfunc etiketleri oluşturabilir ve böylece uzaktan kod yürütme gerçekleştirebilir.
güvenlik
Etkilenen sürümler: 2.9.1 ve öncesi · Oturum açmadan istismar edilebilir
Input vulnerability in BoldGrid W3 Total Cache w3-total-cache allows Accessing Functionality Not Properly Constrained by ACLs.This issue affects W3 Total Cache: from n/a through'da <= 2.9.1 sürümlerinde belirtilen miktarın hatalı doğrulanması.
komut enjeksiyonu
Etkilenen sürümler: 2.8.13 öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache WordPress plugin before 2.8.13 is vulnerable to command injection via the _parse_dynamic_mfunc function, allowing unauthenticated users to execute PHP commands by submitting a comment with a malicious payload to a post.
eksik yetki denetimi
Etkilenen sürümler: 2.8.1 ve öncesi
The W3 Total Cache plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the is_w3tc_admin_page function in all versions up to, and including, 2.8.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to obtain the plugin's nonce value and perform unauthorized actions, resulting in information disclosure, service plan limits consumption as well as making web requests to arbitrary locations originating from the web application that can be used to query information from internal services, including instance metadata on cloud-based applications.
siteler arası istek sahteciliği (CSRF)
Etkilenen sürümler: 2.8.1 ve öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache plugin for WordPress is vulnerable to Information Exposure in all versions up to, and including, 2.8.1 through the publicly exposed debug log file. This makes it possible for unauthenticated attackers to view potentially sensitive information in the exposed log file. For example, the log file may contain nonce values that can be used in further CSRF attacks. Note: the debug feature must be enabled for this to be a concern, and it is disabled by default.
eksik yetki denetimi
Etkilenen sürümler: 2.8.1 ve öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on several functions in all versions up to, and including, 2.8.1. This makes it possible for unauthenticated attackers to deactivate the plugin as well as activate and deactivate plugin extensions.
hassas bilgi ifşası
Etkilenen sürümler: 2.7.5 ve öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 2.7.5 via Google OAuth API secrets stored in plaintext in the publicly visible plugin source. This can allow unauthenticated attackers to impersonate W3 Total Cache and gain access to user account information in successful conditions. This would not impact the WordPress users site in any way.
yansıtılan siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.1.5 öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache WordPress plugin before 2.1.5 was affected by a reflected Cross-Site Scripting (XSS) issue within the "extension" parameter in the Extensions dashboard, when the 'Anonymously track usage to improve product quality' setting is enabled, as the parameter is output in a JavaScript context without proper escaping. This could allow an attacker, who can convince an authenticated admin into clicking a link, to run malicious JavaScript within the user's web browser, which could lead to full site compromise.
yansıtılan siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.1.4 öncesi · Oturum açmadan istismar edilebilir
The W3 Total Cache WordPress plugin before 2.1.4 was vulnerable to a reflected Cross-Site Scripting (XSS) security vulnerability within the "extension" parameter in the Extensions dashboard, which is output in an attribute without being escaped first. This could allow an attacker, who can convince an authenticated admin into clicking a link, to run malicious JavaScript within the user's web browser, which could lead to full site compromise.
depolanmış siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 2.1.3 öncesi
The W3 Total Cache WordPress plugin before 2.1.3 did not sanitise or escape some of its CDN settings, allowing high privilege users to use JavaScript in them, which will be output in the page, leading to an authenticated Stored Cross-Site Scripting issue
- CVE-2014-941424 Aralık 2014
siteler arası istek sahteciliği (CSRF)
Etkilenen sürümler: 0.9.4.1 öncesi
The W3 Total Cache plugin before 0.9.4.1 for WordPress does not properly handle empty nonces, which allows remote attackers to conduct cross-site request forgery (CSRF) attacks and hijack the authentication of administrators for requests that change the mobile site redirect URI via the mobile_groups[*][redirect] parameter and an empty _wpnonce parameter in the w3tc_mobile page to wp-admin/admin.php.
- CVE-2014-872419 Aralık 2014
siteler arası betik çalıştırma (XSS)
Etkilenen sürümler: 0.9.4.1 öncesi
Cross-site scripting (XSS) vulnerability in the W3 Total Cache plugin before 0.9.4.1 for WordPress, when debug mode is enabled, allows remote attackers to inject arbitrary web script or HTML via the "Cache key" in the HTML-Comments, as demonstrated by the PATH_INFO to the default URI.
Kaynak: NVD (kamu malı veri) ve WordPress.org eklenti dizini. Kayıtlar eklentinin WordPress.org adresi veya tam adıyla eşleştirilir. Türkçe açıklamalar makine çevirisidir; bağlayıcı metin NVD’deki İngilizce kayıttır. Veri 7 Ekim 2026 itibarıyla.