CVE-2026-18978 in LiteSpeed Cache Plugin
Riassunto
di VulDB • 28/08/2026
Il plugin LiteSpeed Cache per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il contenuto dei commenti in tutte le versioni fino alla 7.8.1 inclusa, a causa di un'insufficiente sanitizzazione degli input e dell'escaping degli output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Un payload per i commenti creato esclusivamente con riferimenti numerici decimali (ad esempio ", <, >) inserito all'interno di un elemento consentito come <code> bypassa la sanitizzazione wp_kses di WordPress, poiché kses non tratta una sottostringa data-settings="..." nel contenuto del testo come un attributo HTML, consentendo al payload malevolo di raggiungere la funzione vulnerabile. Affinché ciò sia sfruttabile, il sito deve consentire agli utenti con commenti precedentemente approvati di scrivere nuovi commenti e l'impostazione require_name_email deve essere disabilitata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.