CVE-2026-113500
NieznaneStreszczenie
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn optymalizacji HTML do zawartości arkuszy stylów, przez co może usuwać znaczniki zamykające atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty obsługi zdarzeń wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
Ocena ryzyka
Możliwy jest atak XSS wymierzony w administratora i innych odwiedzających, co może prowadzić do przejęcia sesji i kompromitacji witryny. Wymaga to włączonej optymalizacji i opublikowanego komentarza.
Rekomendacja
Zaktualizuj wtyczkę LiteSpeed Cache do wersji 7.9.2 lub nowszej. Rozważ wyłączenie optymalizacji HTML do czasu aktualizacji.
Inne podatności w LiteSpeed Cache WordPress plugin
Zobacz wszystkie- CVE-2026-113501Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie wykonuje kontroli uprawnień w obsłudze odrzucania powiadomień administracyjnych, a używany nonce nie jest powiązany z konkretnym powiadomieniem. W pewnych konfiguracjach witryny niskouprzywilejowany zalogowany użytkownik (Subscriber) może odrzucić powiadomienia administracyjne oznaczone jako nieodrzucalne, w tym ostrzeżenie o publicznie dostępnych plikach wrażliwych.
- CVE-2026-113499Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn przepisywania HTML do zawartości arkuszy stylów, przez co usuwa cudzysłów zamykający atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The LiteSpeed Cache WordPress plugin before 7.9.2 does not limit one of its HTML optimization routines to stylesheet content, so it can delete the markup that closes an attribute in the rendered page, and combined with unescaped comment author output this allows unauthenticated users whose comments are published to inject event-handler attributes that run JavaScript in the browser of any visitor, including a logged-in administrator, viewing front-end pages while the optimization is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS