LiteSpeed Cache : faille XSS stockée jusqu'à la 7.9.1

En bref

• Produit : LiteSpeed Cache, extension de cache et d'optimisation pour WordPress.
• Versions affectées : toutes les versions jusqu'à la 7.9.1 incluse.
• Version corrigée : non précisé par l'éditeur dans les sources consultées.
• Sévérité : moyenne, score CVSS 6.4.
• CVE : CVE-2026-109215.
• Exploitation active : inconnu.
• Date de l'avis : 29 octobre 2026.

La base de vulnérabilités américaine NVD a publié le 29 octobre 2026 une fiche consacrée à une faille de type Cross-Site Scripting (XSS) stockée dans LiteSpeed Cache. Cette extension est l'une des plus répandues de l'écosystème WordPress : sa page sur WordPress.org fait état de plusieurs millions d'installations actives.

Selon la fiche, la faiblesse provient d'un filtrage insuffisant des données saisies et d'un échappement insuffisant à l'affichage. Un attaquant authentifié peut ainsi enregistrer du script dans une page ; ce script s'exécute ensuite dans le navigateur de chaque visiteur qui consulte la page, administrateurs compris. Une XSS stockée peut servir à détourner une session, à modifier l'affichage d'une page ou à pousser un visiteur vers un site tiers.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent LiteSpeed Cache dans une version jusqu'à la 7.9.1 incluse. La fiche NVD précise toutefois que l'exploitation dépend de plusieurs conditions réunies :

• l'attaquant dispose d'un compte authentifié, avec au minimum le rôle d'abonné ;
• un administrateur a activé la fonction Viewport Images (VPI) de l'extension et y a configuré un nom de fichier qui correspond à une image que l'attaquant peut insérer dans un contenu ;
• le site accepte du contenu publié par ses utilisateurs, par exemple un forum bbPress où les participants peuvent répondre aux sujets.

Un site vitrine sans inscription publique, ou sur lequel la fonction Viewport Images n'est pas activée, est donc nettement moins exposé. Le risque est plus élevé pour les sites communautaires, les forums et toute installation qui ouvre l'inscription à des visiteurs. Le score CVSS 6.4 reflète ce besoin d'un compte et d'une configuration précise. À la date de publication, aucune exploitation active n'est signalée dans les sources consultées, ce qui ne permet pas de l'exclure.

Que faire ?

• Mettre à jour LiteSpeed Cache dès que possible vers la dernière version publiée par l'éditeur sur WordPress.org, en vérifiant dans le journal des modifications qu'elle intègre le correctif de sécurité ; le numéro de la version corrigée est non précisé par l'éditeur dans les sources consultées.
• En attendant, si la fonction Viewport Images n'est pas indispensable, la désactiver dans les réglages de l'extension.
• Faire le point sur les comptes utilisateurs : désactiver l'inscription publique si elle ne sert pas, supprimer les comptes abonnés inconnus ou inactifs.
• Vérifier les journaux et les contenus récents publiés par des utilisateurs (réponses de forum, commentaires) à la recherche de contenu inattendu.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Pour les agences qui maintiennent un parc de sites clients, il est utile de recenser rapidement les installations qui combinent LiteSpeed Cache, Viewport Images et un espace contributif, afin de les traiter en priorité.

Sources

• NVD : CVE-2026-109215 (fiche officielle de la vulnérabilité)
• Wordfence Threat Intelligence : LiteSpeed Cache
• GitHub : commit de correctif de LiteSpeed Cache
• WordPress.org : LiteSpeed Cache