→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-93389 · litespeed-cache
افشای ناامن اطلاعات (Info Disclosure) در افزونه LiteSpeed Cache
در نسخه‌های ۷.۹.۱ و پایین‌تر افزونه LiteSpeed Cache، با فعال بودن Cache REST (پیش‌فرض cache-rest=1)، پاسخ‌های GET مربوط به Store API ووکامرس برای سبد خرید و تسویه‌حساب به‌صورت کش عمومی ذخیره می‌شوند و کش بر اساس Cart-Token یا نشست ووکامرس تفکیک نمی‌شود. در نتیجه مهاجم احراز هویت‌نشده می‌تواند پاسخ شخصی‌سازی‌شده یک خریدار دیگر را دریافت کند و به جزئیات صورتحساب و ارسال (نام، شرکت، نشانی، ایمیل و تلفن)، محتوای سبد خرید و مبالغ دسترسی پیدا کند. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 7.9.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته litespeed-cache را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.