CVE-2026-18978 in LiteSpeed Cache Plugin
Sumário
de VulDB • 28/08/2026
O plugin LiteSpeed Cache para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via conteúdo de comentário em todas as versões até 7.8.1, devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Um payload de comentário elaborado exclusivamente com referências de caracteres numéricos decimais (por exemplo, ", <, >) inserido dentro de um elemento permitido como <code> contorna a sanitização wp_kses do WordPress, pois o kses não trata uma substring data-settings="..." no conteúdo de texto como um atributo HTML, permitindo que o payload malicioso alcance a função vulnerável. Para que isso seja explorável, o site deve permitir que usuários com comentários previamente aprovados escrevam novos comentários e a configuração require_name_email deve estar desativada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.