CVE-2026-113501
NieznaneStreszczenie
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie wykonuje kontroli uprawnień w obsłudze odrzucania powiadomień administracyjnych, a używany nonce nie jest powiązany z konkretnym powiadomieniem. W pewnych konfiguracjach witryny niskouprzywilejowany zalogowany użytkownik (Subscriber) może odrzucić powiadomienia administracyjne oznaczone jako nieodrzucalne, w tym ostrzeżenie o publicznie dostępnych plikach wrażliwych.
Ocena ryzyka
Niskouprzywilejowany użytkownik może ukryć przed administratorem ważne ostrzeżenia bezpieczeństwa, opóźniając reakcję na zagrożenia. Nie prowadzi to bezpośrednio do wykonania kodu.
Rekomendacja
Zaktualizuj wtyczkę LiteSpeed Cache do wersji 7.9.2 lub nowszej. Sprawdź, czy wrażliwe pliki nie są publicznie dostępne.
Inne podatności w LiteSpeed Cache WordPress plugin
Zobacz wszystkie- CVE-2026-113500Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn optymalizacji HTML do zawartości arkuszy stylów, przez co może usuwać znaczniki zamykające atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty obsługi zdarzeń wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
- CVE-2026-113499Nieznane
Wtyczka WordPress LiteSpeed Cache przed 7.9.2 nie ogranicza jednej z rutyn przepisywania HTML do zawartości arkuszy stylów, przez co usuwa cudzysłów zamykający atrybut w renderowanej stronie. W połączeniu z nieescapowanym wyjściem autora komentarza pozwala to nieuwierzytelnionym użytkownikom, których komentarze są publikowane, wstrzyknąć atrybuty wykonujące JavaScript w przeglądarce każdego odwiedzającego, w tym zalogowanego administratora.
Oryginalny opis (angielski, źródło NVD)
The LiteSpeed Cache WordPress plugin before 7.9.2 does not perform a capability check on its admin-notice dismissal handler, and the nonce it relies on is not bound to the specific notice being dismissed, so on sites in certain configurations a low-privileged authenticated user (Subscriber) can dismiss administrative notices the LiteSpeed Cache WordPress plugin before 7.9.2 marks as non-dismissible, including a warning that sensitive files may be publicly accessible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS