W oficjalnym komunikacie zespół rozwijający wtyczkę LiteSpeed Cache poinformował o usunięciu trzech luk bezpieczeństwa oznaczonych identyfikatorami CVE-2026-113499, CVE-2026-113500 oraz CVE-2026-113501. Wszystkie podatności występowały w wydaniach poprzedzających wersję 7.9.2 i dotyczyły zarówno mechanizmów optymalizacji, jak i zarządzania uprawnieniami.
Warunki wykorzystania podatności XSS
Dwa pierwsze błędy dotyczą wstrzykiwania kodu w przeglądarce (XSS) i mogą zostać wykorzystane wyłącznie wtedy, gdy spełniony zostanie zestaw konkretnych kryteriów technicznych. Warunkiem koniecznym jest włączona obsługa komentarzy na stronie, publikacja wpisu od nieuwierzytelnionego gościa oraz brak uciekania znaków (brak filtrowania) w nazwie autora komentarza przez motyw lub inny zainstalowany kod.
Błąd CVE-2026-113499 w obsłudze CDN
Ta luka stwarza zagrożenie tylko wtedy, gdy w konfiguracji wtyczki włączona jest opcja Use CDN Mapping w sekcji Other Static CDN, zdefiniowano adres CDN URL, a parametr Include Images ma status aktywny.
Błąd CVE-2026-113500 w optymalizacji kaskadowych arkuszy stylów
Druga podatność XSS ujawnia się, gdy w zakładce Page Optimization, w ustawieniach CSS Settings, funkcja Font Display Optimization ma ustawioną wartość Swap.
Gdy te warunki zostaną spełnione, nieuwierzytelniony napastnik niepotrzebujący konta może doprowadzić do uruchomienia skryptu w przeglądarce każdego użytkownika odwiedzającego stronę. Jeżeli zainfekowaną podstronę odwiedzi zalogowany administrator, skrypt wykona się z jego pełnymi uprawnieniami administracyjnymi. Serwisy bez wskazanych ustawień nie są narażone na ten atak.
Nieautoryzowane zamykanie powiadomień administracyjnych
Zidentyfikowany błąd CVE-2026-113501 stanowi odrębny problem polegający na braku weryfikacji uprawnień. Do jego wywołania wystarczy, aby osoba atakująca posiadała konto o najniższej roli, czyli subskrybenta. W witrynach z otwartą rejestracją takie uprawnienia może uzyskać dowolna osoba.
Luka umożliwia zdalnemu użytkownikowi odrzucanie i zamykanie powiadomień administracyjnych przypiętych przez wtyczkę LiteSpeed Cache w kokpicie WordPressa. W ten sposób napastnik może uniemożliwić właścicielowi strony zapoznanie się z istotnymi ostrzeżeniami technicznymi, na które ten powinien zareagować. Błąd ten nie zapewnia wglądu do danych witryny, nie pozwala na wykonywanie kodu ani przejmowanie kont użytkowników.
Zalecenia i proces wdrożenia poprawek
Zespół LiteSpeed zaleca aktualizację wtyczki do wersji 7.9.2 lub wyższej we wszystkich instalacjach WordPressa. Administratorzy, którzy nie mogą przeprowadzić aktualizacji od zaraz, mogą zneutralizować ryzyko związane z podatnościami XSS poprzez tymczasowe włączenie moderacji komentarzy.
Według opublikowanego harmonogramu wersja 7.9.2 trafiła do repozytorium WordPressa 19 października 2026 roku, w ciągu tygodnia od otrzymania zgłoszenia. Następnie, 23 października 2026 roku, wydanie to włączono do listy stabilnych wersji instalowanych przez wtyczki paneli kontrolnych serwerów.
