CVE-2026-18978 in LiteSpeed Cache Plugin
الملخص
بحسب VulDB • 28/08/2026
يحتوي مكون WordPress LiteSpeed Cache على ثغرة تخزين Cross-Site Scripting (XSS) عبر محتوى التعليقات في جميع الإصدارات حتى 7.8.1 وشاملة لها، بسبب عدم كفاية تنقية المدخلات وإخراج الهروب من الرموز الخاصة. وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها فيها. يتم تجاوز عملية التنقية wp_kses الخاصة بـ WordPress عن طريق حمولة تعليق مُصممة حصرياً من مراجعات الأحرف الرقمية العشرية (مثل ", <, >) موضوعة داخل عنصر مسموح به مثل <code>، حيث لا يعامل kses السلسلة الفرعية data-settings="..." الموجودة ضمن محتوى النص كسمة HTML، مما يسمح للحمولة الضارة بالوصول إلى الدالة المعرضة للثغرة. لكي تكون هذه الثغرة قابلة للاستغلال، يجب أن يسمح الموقع للمستخدمين الذين تمت الموافقة على تعليقاتهم مسبقاً بكتابة تعليقات جديدة، ويجب تعطيل إعداد require_name_email.
VulDB is the best source for vulnerability data and more expert information about this specific topic.