LiteSpeed Cache per WordPress: tre falle corrette nella versione 7.9.2

LiteSpeed Technologies ha rilasciato la versione 7.9.2 di LiteSpeed Cache for WordPress (LSCWP), il plugin di cache server-level che secondo la pagina ufficiale su wordpress.org conta oltre 7.000.000 di installazioni attive. L'aggiornamento corregge tre vulnerabilità segnalate di recente, due delle quali sfruttabili senza autenticazione.

Le tre CVE

LiteSpeed Cache for WordPress (LSCWP) è un plugin di accelerazione del sito con funzioni di cache server-level e ottimizzazione esclusive. Le falle corrette sono:

• CVE-2026-113499 e CVE-2026-113500: cross-site scripting. Un sito è vulnerabile solo se accetta commenti e pubblica un commento di un visitatore non autenticato senza che il tema effettui l'escaping del nome autore. Per CVE-2026-113499 serve inoltre che siano attive le opzioni CDN > Other Static CDN > Use CDN Mapping, CDN URL definita e Include Images; per CVE-2026-113500 serve che Page Optimization > CSS Settings > Font Display Optimization sia impostato su Swap. Se queste condizioni sono soddisfatte, un attaccante senza account può far eseguire uno script nel browser di chi visita la pagina, e se il visitatore è un amministratore loggato lo script gira con i suoi permessi.
• CVE-2026-113501: autorizzazione mancante. Un account con ruolo almeno Subscriber - ottenibile su qualunque sito con registrazione utenti aperta - può eliminare gli avvisi amministrativi fissati dal plugin, impedendo al titolare del sito di vedere un warning su cui avrebbe altrimenti agito. Il problema non consente accesso ai dati né esecuzione di codice o furto di account.

Tempistica e azione richiesta

LiteSpeed ha patchato il problema e rilasciato la versione 7.9.2 sul repository WordPress il 19 ottobre 2026, con una settimana di preavviso dalla segnalazione. Il 23 ottobre 2026 la 7.9.2 è stata aggiunta all'elenco delle versioni stabili nei plugin del pannello di controllo dell'azienda.

Chi aggiorna automaticamente il plugin non deve fare nulla. Per chi non lo ha ancora fatto, l'azione raccomandata è aggiornare subito a LSCache 7.9.2 o superiore. Come mitigazione temporanea contro le due XSS, in attesa dell'aggiornamento, si può attivare la moderazione dei commenti.

OpenLiteSpeed non è un prodotto Prime Software.