Plugin LiteSpeed Cache 7.9 corrige falha de Cross-Site Scripting via comentários
O que fazer
Outra falha do LiteSpeed Cache, publicada no mesmo dia, foi corrigida na 7.9.1: atualizando para ela, você resolve as duas. Ver aviso
- Afeta
- Sites com o LiteSpeed Cache anterior à 7.9
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o LiteSpeed Cache para a 7.9.1 ou superior
- Prazo
- Até 03/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · sem ação da vítima
Passo a passo
- Se o seu site usa o LiteSpeed Cache, atualize o plugin para a versão 7.9 pelo painel do WordPress.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get litespeed-cache --field=version - Atualizar
wp plugin update litespeed-cache
O que aconteceu
O plugin LiteSpeed Cache para WordPress tem uma vulnerabilidade do tipo Cross-Site Scripting armazenado (CVE-2026-18978, severidade alta, CVSS 7.2) nas versões anteriores à 7.9. Por meio do conteúdo de um comentário, um visitante sem login consegue inserir um código malicioso que fica gravado na página e é executado no navegador de quem a acessa. Estão afetados todos os sites WordPress que usam o plugin em versão anterior à 7.9, em qualquer plano.
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The LiteSpeed Cache plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 7.8.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. A comment payload crafted exclusively from decimal…
Título original e fonte
ENLiteSpeed Cache < 7.9: Unauthenticated Stored Cross-Site Scripting via Comment Content
Versões
- Afetadas
- < 7.9
- Corrigida em
- 7.9
- Mais recente
- 7.9.1
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.