CVE-2026-84761

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na odbity atak XSS poprzez parametr 'esi' we wszystkich wersjach do 7.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga podania prawidłowo podpisanego 'esi' w zapytaniu GET oraz osobnego payloadu 'esi' w ciele POST, wykorzystując domyślną kolejność scalania $_REQUEST w PHP.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez spreparowane atrybuty tagu `<img>` we wszystkich wersjach do 7.7 włącznie. Wynika to z błędnego wyrażenia regularnego używanego do usuwania atrybutów `width` i `height` z obrazów, gdy włączone są funkcje "Lazy Load Images" i "Add Missing Sizes".

Wtyczka LiteSpeed Cache dla WordPressa do wersji 7.8.1 włącznie jest podatna na trwały atak XSS przez treść komentarza. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony. Ładunek wykorzystujący dziesiętne odwołania numeryczne znaków omija sanitizację wp_kses.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) poprzez adresy URL we wszystkich wersjach do 7.5.0.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.