CVE-2026-18978

Wtyczka LiteSpeed Cache dla WordPressa w wersjach do 7.9.1 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'comment' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy wejściu użytkownika na zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy opcja HTML Minify (O_OPTM_HTML_MIN) jest włączona, a towarzysząca wtyczka renderuje zapisaną treść komentarza w kontekście surowego tekstu, takim jak blok skryptu JSON-LD na tej samej stronie.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'bbp_reply_content' we wszystkich wersjach do 7.9.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z poziomem dostępu subskrybenta lub wyższym mogą wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga włączenia przez administratora Viewport Images (VPI) i skonfigurowania nazwy pliku VPI pasującej do obrazu, który atakujący może osadzić w treści generowanej przez użytkownika.

Wtyczka WordPress 'LiteSpeed Cache' (wersje do 7.9) jest podatna na wstawianie poufnych informacji do wysyłanych danych, co może pozwolić na odzyskanie osadzonych poufnych danych. Atakujący może uzyskać dostęp do informacji, które nie powinny być ujawniane.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na odbity atak XSS poprzez parametr 'esi' we wszystkich wersjach do 7.9 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wykorzystanie wymaga podania prawidłowo podpisanego 'esi' w zapytaniu GET oraz osobnego payloadu 'esi' w ciele POST, wykorzystując domyślną kolejność scalania $_REQUEST w PHP.

Nieuwierzytelniony atak typu Server Side Request Forgery (SSRF) w LiteSpeed Cache w wersjach do 7.9. Atakujący może wysyłać żądania z serwera do wewnętrznych zasobów bez logowania.

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez spreparowane atrybuty tagu `<img>` we wszystkich wersjach do 7.7 włącznie. Wynika to z błędnego wyrażenia regularnego używanego do usuwania atrybutów `width` i `height` z obrazów, gdy włączone są funkcje "Lazy Load Images" i "Add Missing Sizes".

Wtyczka LiteSpeed Cache dla WordPressa jest podatna na Reflected Cross-Site Scripting (XSS) poprzez adresy URL we wszystkich wersjach do 7.5.0.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonują się, jeśli uda im się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.