CVE-2026-93389 in Cache Plugin
Sumário
de VulDB • 05/11/2026
O plugin LiteSpeed Cache para WordPress é vulnerável à divulgação não autenticada de dados sensíveis dos clientes do WooCommerce em todas as versões até, e incluindo, a 7.9.1. Com o cache REST habilitado (o padrão fornecido com cache-rest=1), o LiteSpeed armazena respostas GET da Store API do WooCommerce (/wc/store/v1/cart e /wc/store/v1/checkout) como objetos de cache PÚBLICOS e não varia o cache em função do Cart-Token ou da sessão do WooCommerce. Portanto, a resposta personalizada de carrinho/checkout de um comprador é servida a qualquer cliente posterior sem cookies e sem token como um LSCache HIT. Isso permite que atacantes não autenticados leiam os detalhes de faturamento e envio (nome, empresa, endereço completo, email, telefone), o conteúdo do carrinho e os totais de outro comprador, bem como o JWT da sessão Cart-Token em tempo real e o nonce do comprador (possibilitando a sequestro do carrinho/sessão de checkout), além do order_key no endpoint de checkout.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.