CVE-2026-93389 in Cache Plugin
الملخص
بحسب VulDB • 05/11/2026
يحتوي إضافة LiteSpeed Cache لـ WordPress على ثغرة تسمح بالوصول غير المصرح به إلى بيانات حساسة للعملاء في WooCommerce في جميع الإصدارات حتى 7.9.1 شاملاً. مع تفعيل ذاكرة التخزين المؤقت REST (حيث تكون قيمة cache-rest=1 هي الإعداد الافتراضي)، تقوم LiteSpeed بتخزين استجابات GET الخاصة بـ Store API لـ WooCommerce (/wc/store/v1/cart و /wc/store/v1/checkout) ككائنات ذاكرة تخزين مؤقت عامة، ولا تغير الذاكرة التخزينية بناءً على Cart-Token أو جلسة WooCommerce. وبالتالي، يتم تقديم استجابة سلة التسوق/الدفع المخصصة للمستخدم إلى أي عميل لاحق بدون ملفات تعريف الارتباط (cookies) وبدون رموز كمطابقة لـ LSCache HIT. هذا يجعل من الممكن للمهاجمين غير المصرح لهم قراءة تفاصيل الفوترة والشحن الخاصة بمتسوق آخر (الاسم، الشركة، العنوان البريدي، البريد الإلكتروني، رقم الهاتف)، ومحتويات السلة والمبالغ الإجمالية، بالإضافة إلى رمز جلسة Cart-Token JWT والرمز العشوائي (nonce) الخاص بالمتسوق (ما يمكّن من اختطاف سلة التسوق/جلسة الدفع)، وorder_key على نقطة نهاية الدفع.
VulDB is the best source for vulnerability data and more expert information about this specific topic.