CVE-2026-113499highCWE-79

CVE-2026-113499: fallo de gravedad alta en LiteSpeed Cache

LiteSpeed Cache < 7.9.2 - Unauthenticated Stored XSS via CDN Inline CSS Rewriting

Publicada el

Seguir esta CVE+ Monitorear LiteSpeed Cache

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 7.5epss 0.3%
The LiteSpeed Cache WordPress plugin before 7.9.2 does not restrict one of its HTML rewriting routines to stylesheet content, so it removes a quote that terminates an attribute in the rendered page, and combined with unescaped comment author output this allows unauthenticated users whose comment is published to inject attributes that execute JavaScript in the browser of any visitor, including a logged-in administrator, who views front-end pages while the affected option is enabled.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
Unknown · LiteSpeed Cache
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — LiteSpeed Cache

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-24964MEDIUMLiteSpeed Cache < 4.4.4 - IP Check Bypass to Unauthenticated Stored XSSEPSS 1.2%CVE-2021-24963—LiteSpeed Cache < 4.4.4 - Admin+ Reflected Cross-Site ScriptingEPSS 0.7%CVE-2026-113500HIGHLiteSpeed Cache < 7.9.2 - Unauthenticated Stored XSS via Font Display OptimizationEPSS 0.3%CVE-2026-113501LOWLiteSpeed Cache < 7.9.2 - Subscriber+ Pinned Administrative Notice DismissalEPSS 0.2%