CVE-2026-111254：W3 Total Cache 儲存型 XSS

W3 Total Cache 是供 WordPress 使用的快取外掛。CVE-2026-111254 為儲存型跨站指令碼（Stored XSS，CWE-79）漏洞。在特定快取與授權狀態下，攻擊者可能將腳本內容存入留言；若使用者之後瀏覽受影響內容，腳本可能以網站來源執行，造成機密性與完整性影響。漏洞成立須符合特定條件，並非所有部署都會受到相同影響。

受影響版本： W3 Total Cache 2.10.7 及更早版本。修補版本： 2.11.0 已確認包含上游修正；官方 CVE 記錄未標示最早修補版本，建議升級至 2.11.0 或更新版本。

若暫時無法升級，建議停用 REST API caching、清除相關 REST 與頁面快取，並檢查及處理可疑留言。這些措施僅為暫時緩解，不能取代更新。

參考資料： CVE Program · https://www.cve.org/CVERecord?id=CVE-2026-111254 NIST NVD · https://nvd.nist.gov/vuln/detail/CVE-2026-111254 上游修正提交 · https://github.com/BoldGrid/w3-total-cache/commit/7168b0d7cc80e827ad234a0428ab3ecdbef3c107 W3 Total Cache 2.11.0 原始碼 https://plugins.svn.wordpress.org/w3-total-cache/tags/2.11.0/