CVE-2026-113499
NieznaneStreszczenie
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn przepisywania HTML do zawartości arkuszy stylów, przez co usuwa cudzysłów zamykający atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
Ocena ryzyka
Możliwy jest atak XSS wymierzony w administratora i innych odwiedzających, co może prowadzić do przejęcia sesji i kompromitacji witryny. Wymaga to włączonej opcji i opublikowanego komentarza.
Rekomendacja
Zaktualizuj wtyczkę LiteSpeed Cache do wersji 7.9.2 lub nowszej. Rozważ wyłączenie dotkniętej opcji do czasu aktualizacji.
Inne podatności w LiteSpeed Cache WordPress plugin
Zobacz wszystkie- CVE-2026-113501Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie wykonuje kontroli uprawnień w obsłudze odrzucania powiadomień administracyjnych, a używany nonce nie jest powiązany z konkretnym powiadomieniem. W pewnych konfiguracjach witryny niskouprzywilejowany zalogowany użytkownik (Subscriber) może odrzucić powiadomienia administracyjne oznaczone jako nieodrzucalne, w tym ostrzeżenie o publicznie dostępnych plikach wrażliwych.
- CVE-2026-113500Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn optymalizacji HTML do zawartości arkuszy stylów, przez co może usuwać znaczniki zamykające atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty obsługi zdarzeń wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The LiteSpeed Cache WordPress plugin before 7.9.2 does not restrict one of its HTML rewriting routines to stylesheet content, so it removes a quote that terminates an attribute in the rendered page, and combined with unescaped comment author output this allows unauthenticated users whose comment is published to inject attributes that execute JavaScript in the browser of any visitor, including a logged-in administrator, who views front-end pages while the affected option is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS