LiteSpeed Cache : injection d’attributs JavaScript via un commentaire

Veille sécuritéCMS & e-commerce

P3Élevée

LiteSpeed Cache pour WordPress, dans les versions antérieures à 7.9.2, peut supprimer du HTML la marque qui ferme un attribut, et l’associer à la sortie non échappée de l’auteur d’un commentaire publié. Un utilisateur non authentifié peut ainsi injecter des attributs gestionnaires d’événements exécutant du JavaScript dans le navigateur des visiteurs, y compris des administrateurs connectés, lorsque l’optimisation concernée est activée.

IdentifiantCVE-2026-113500

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif7.9.2

Source : NVD — CVE-2026-113500

Analyse technique

Une routine d’optimisation HTML qui n’est pas limitée au contenu des feuilles de style retire la marque de fermeture d’un attribut ; l’auteur du commentaire est rendu sans échappement.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-23 ; cette publication de vulnérabilité est dans la période demandée.

ImpactUn visiteur peut être exposé à l’exécution de JavaScript dans le contexte du site, y compris lorsqu’il s’agit d’un administrateur connecté.

Versions affectéesVersions antérieures à 7.9.2.

Version corrigée7.9.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

EPSS0,19% · percentile 7,9%

Publication2026-10-23T06:17:06.587Z

Mise à jour2026-10-23T14:20:57.920Z

Action recommandée

Mettre à jour LiteSpeed Cache vers la version 7.9.2 ou ultérieure ; si possible, désactiver l’optimisation concernée jusqu’à la mise à jour.

Sources

NVD — CVE-2026-113500

Priorisation DFS : P3 · 1 source(s).