LiteSpeed Cache : XSS via les commentaires publiés

Veille sécuritéCMS & e-commerce

P3Élevée

LiteSpeed Cache pour WordPress permet, avant la version 7.9.2, à un utilisateur non authentifié dont le commentaire est publié d’exploiter une routine de réécriture HTML pour injecter des attributs exécutant du JavaScript. Le code peut s’exécuter dans le navigateur des visiteurs, y compris d’un administrateur connecté, lorsque l’option concernée est activée.

IdentifiantCVE-2026-113499

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif7.9.2

Source : NVD — CVE-2026-113499

Analyse technique

Une routine de réécriture qui ne se limite pas au contenu des feuilles de style retire un guillemet fermant dans la page rendue ; combinée à la sortie non échappée de l’auteur d’un commentaire, elle permet l’injection d’attributs.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité est dans la période demandée.

ImpactL’exécution de JavaScript dans le navigateur d’un visiteur peut compromettre sa session ou permettre des actions dans le contexte de l’application.

Versions affectéesVersions antérieures à 7.9.2.

Version corrigée7.9.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,19% · percentile 7,9%

Publication2026-10-23T06:17:06.490Z

Mise à jour2026-10-23T14:20:57.920Z

Action recommandée

Mettre à jour LiteSpeed Cache vers la version 7.9.2 ou ultérieure ; si possible, désactiver l’option concernée jusqu’à la mise à jour.

Sources

NVD — CVE-2026-113499

Priorisation DFS : P3 · 1 source(s).