→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-113499 · litespeed-cache
تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه LiteSpeed Cache
در افزونه LiteSpeed Cache نسخه‌های 7.9.2 و پایین‌تر، یکی از روال‌های بازنویسی HTML به محتوای شیوه‌نامه محدود نمی‌شود و نقل‌قولی را که یک ویژگی HTML را در صفحه رندرشده می‌بندد حذف می‌کند. این نقص در کنار خروجی بدون escape نام نویسنده دیدگاه، به کاربر احراز هویت‌نشده‌ای که دیدگاهش منتشر شده امکان می‌دهد ویژگی‌هایی تزریق کند که جاوااسکریپت را در مرورگر هر بازدیدکننده صفحات فرانت‌اند، از جمله مدیر واردشده، و در صورت فعال بودن گزینه مربوط اجرا کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا از فایروال وب (WAF) استفاده کنید و روی نسخه آسیب‌پذیر بدون کنترل جبرانی باقی نمانید.
نسخه‌های تحت تأثیر
<= 7.9.2
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته litespeed-cache را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.