CVE-2026-18978 in LiteSpeed Cache Plugin
Сводка
по VulDB • 28.08.2026
Плагин LiteSpeed Cache для WordPress уязвим к Stored Cross-Site Scripting (XSS) через содержимое комментариев во всех версиях вплоть до 7.8.1 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Полезная нагрузка для комментария, созданная исключительно с использованием десятичных числовых символьных ссылок (например, `#`, `<`, `>`), размещенная внутри разрешенного элемента, такого как `<code>`, обходит санитизацию WordPress wp_kses, поскольку kses не рассматривает подстроку data-settings="..." в текстовом содержимом как HTML-атрибут, что позволяет вредоносной полезной нагрузке достичь уязвимой функции. Для эксплуатации этой уязвимости сайт должен позволять пользователям с ранее одобренными комментариями писать новые комментарии, а настройка require_name_email должна быть отключена.
Once again VulDB remains the best source for vulnerability data.