Drie kwetsbaarheden ontdekt in WordPress-plugin LiteSpeed Cache

Wat is er gebeurd

Er zijn drie afzonderlijke kwetsbaarheden gemeld voor de WordPress-plugin LiteSpeed Cache, die alle versies vóór 7.9.2 treffen. CVE-2026-113499 en CVE-2026-113500 zijn beide stored cross-site scripting-kwetsbaarheden (XSS): in beide gevallen beperkt een HTML-herschrijvings- of optimalisatieroutine in de plugin zich niet tot stylesheet-inhoud, waardoor onbedoeld aanhalingstekens of afsluitende attribuutmarkup uit de weergegeven pagina worden verwijderd. In combinatie met onvoldoende ge-escapede output van de naam van een reactieplaatser kan een ongeauthenticeerde gebruiker wiens reactie wordt gepubliceerd hierdoor attributen injecteren die JavaScript uitvoeren in de browser van een bezoeker, inclusief een ingelogde beheerder, zodra de betreffende optimalisatie-optie actief is. CVE-2026-113501 betreft een ander probleem: de functie die beheermeldingen wegklikt controleert niet de rechten van de gebruiker, en de bijbehorende nonce is niet gekoppeld aan één specifieke melding. Hierdoor kan een geauthenticeerde gebruiker met lage rechten (rol Abonnee) op bepaalde sites beheermeldingen wegklikken die als niet-wegklikbaar zijn gemarkeerd, waaronder een waarschuwing dat gevoelige bestanden mogelijk publiek toegankelijk zijn.

Technische oorzaak

De twee XSS-kwetsbaarheden (CVE-2026-113499, CVE-2026-113500) komen voort uit HTML-herschrijvings-/optimalisatieroutines die niet correct beperkt zijn tot stylesheet-inhoud, waardoor ze tekens verwijderen die HTML-attributen afsluiten (zoals een afsluitend aanhalingsteken of de markup die een attribuut afsluit) in de weergegeven pagina. Wanneer deze markup wordt verwijderd en dit wordt gecombineerd met onvoldoende ge-escapede output van het veld voor de naam van de reactieplaatser, kan een aanvaller een reactie opstellen die na publicatie nieuwe HTML-attributen injecteert — inclusief event-handler-attributen — die willekeurige JavaScript uitvoeren voor elke bezoeker die de pagina bekijkt terwijl de optimalisatiefunctie actief is. Dit valt onder CWE-79 (Cross-Site Scripting). Het derde probleem (CVE-2026-113501) is een falende toegangscontrole (CWE-862): de handler die het wegklikken van beheermeldingen verwerkt, controleert niet het rechtenniveau van de gebruiker, en de nonce die wordt gebruikt om het verzoek te autoriseren is niet gekoppeld aan een specifieke melding, waardoor deze kan worden hergebruikt voor meldingen die eigenlijk niet weggeklikt zouden mogen worden.

Waarom dit belangrijk is

De twee XSS-kwetsbaarheden vereisen geen authenticatie — een aanvaller heeft alleen de mogelijkheid nodig om een reactie te plaatsen die wordt gepubliceerd, wat op veel sites met open reactiemogelijkheden een lage drempel is. Eenmaal getriggerd kan de geïnjecteerde JavaScript worden uitgevoerd in de browser van elke bezoeker, inclusief beheerders, wat kan leiden tot sessiekaping, compromittering van een beheerdersaccount of verdere overname van de site, afhankelijk van wat mogelijk is binnen een geauthenticeerde beheerderssessie. Het probleem met het wegklikken van beheermeldingen is minder ernstig: het heeft geen directe impact op vertrouwelijkheid of beschikbaarheid, maar het kan een gebruiker met lage rechten in staat stellen een beveiligingswaarschuwing te onderdrukken (zoals een melding dat gevoelige bestanden publiek toegankelijk zijn), waardoor beheerders mogelijk niet op de hoogte zijn van een bestaand risico.

Wie wordt getroffen

Elke WordPress-site die de LiteSpeed Cache-plugin gebruikt in een versie vóór 7.9.2 is mogelijk kwetsbaar. Voor de twee XSS-kwetsbaarheden geldt dat sites blootgesteld zijn als de betreffende HTML-optimalisatieoptie is ingeschakeld en de site openbare reacties accepteert. Voor het probleem met het wegklikken van beheermeldingen hangt de blootstelling af van de sitesconfiguratie en is een geauthenticeerd account met lage rechten (rol Abonnee) vereist, dat op de site moet bestaan of aangemaakt kan worden.

Getroffen versies

Alle drie de kwetsbaarheden treffen LiteSpeed Cache-versies vóór 7.9.2, volgens de gegevens over getroffen versiebereiken in de adviezen.

Fixes en mitigatie

De beschikbare adviesgegevens voor alle drie de kwetsbaarheden geven aan dat het bestaan van een fix niet bevestigd is, en er is geen gefixte versienummer meegeleverd in het feitenpakket. De gegevens over het getroffen versiebereik verwijzen naar versie 7.9.2 als de grens waaronder versies kwetsbaar zijn, maar deze briefing kan niet bevestigen of er daadwerkelijk een gepatchte release beschikbaar is gesteld, aangezien fix_available voor alle drie de adviezen expliciet op false staat. Sitebeheerders doen er goed aan dit als onopgelost te beschouwen totdat de leverancier dit bevestigt.

Aanbevolen actie

Controleer de huidige geïnstalleerde versie van LiteSpeed Cache tegen de officiële changelog van de plugin en werk uit voorzorg bij naar de laatst beschikbare release. Als de in de adviezen beschreven HTML-optimalisatiefuncties niet noodzakelijk zijn, overweeg deze dan uit te schakelen totdat een bevestigde fix is geverifieerd. Bekijk de instellingen voor reactiemoderatie om publicatie van ongeauthenticeerde reacties waar mogelijk te beperken. Controleer voor het probleem met beheermeldingen welke gebruikersrollen op de site bestaan en beperk het aanmaken van of de toegang tot accounts met de rol Abonnee waar dit niet nodig is. Houd de officiële updatekanalen van de plugin in de gaten voor een bevestigde beveiligingsrelease.