LiteSpeed Cache : fuite de données clients WooCommerce, correctif non précisé

En bref

• Produit : LiteSpeed Cache, extension de cache pour WordPress.
• Versions affectées : toutes les versions jusqu'à la 7.9.1 incluse.
• Version corrigée : non précisée par l'éditeur.
• Sévérité : élevée, score CVSS 8.2.
• CVE : CVE-2026-93389.
• Exploitation active : inconnu.
• Date de l'avis : 5 novembre 2026.

Une vulnérabilité de divulgation d'informations touche l'extension LiteSpeed Cache lorsqu'elle est utilisée avec WooCommerce. Selon la fiche publiée par la NVD, un visiteur non authentifié peut obtenir des données personnelles d'autres clients de la boutique, sans compte et sans interaction de la victime.

De quoi s'agit-il ?

D'après la description officielle, lorsque la mise en cache des réponses de l'API REST est active, ce qui est le réglage livré par défaut, l'extension enregistre en cache public certaines réponses de l'API de boutique de WooCommerce liées au panier et à la validation de commande. Ce cache ne distingue pas les sessions des différents acheteurs : la réponse personnalisée d'un client peut ensuite être servie à n'importe quel autre visiteur.

Les informations exposées sont sensibles : coordonnées de facturation et de livraison (nom, société, adresse postale, e-mail, téléphone), contenu et montant du panier, ainsi que le jeton de session du panier. La NVD précise que ce jeton permet de détourner la session de panier ou de commande d'un client, et qu'une clé de commande peut également fuiter. Pour une boutique en ligne, il s'agit donc à la fois d'un problème de confidentialité et d'un risque de fraude.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent à la fois LiteSpeed Cache, dans une version jusqu'à la 7.9.1 incluse, et WooCommerce avec ses fonctions de panier et de commande. Le risque porte sur les configurations où la mise en cache de l'API REST est activée, ce qui correspond au réglage par défaut. D'après la description disponible, les sites sans boutique WooCommerce ne sont pas exposés à cette fuite de données clients.

L'extension est très répandue : sa page officielle sur WordPress.org fait état de plusieurs millions d'installations actives. Une part importante des boutiques WooCommerce est donc potentiellement concernée. À la date de l'avis, la vulnérabilité n'est pas signalée comme exploitée activement par la CISA.

Que faire ?

• Vérifier la version de LiteSpeed Cache installée sur chacun de vos sites WooCommerce.
• Mettre à jour l'extension dès qu'une version corrigée est disponible : son numéro est, à ce jour, non précisé par l'éditeur. Consultez le journal des modifications de l'extension avant d'appliquer la mise à jour.
• En attendant, envisager de désactiver la mise en cache de l'API REST dans les réglages de l'extension, puis purger l'intégralité du cache pour supprimer les réponses déjà stockées.
• Vérifier les journaux du serveur et de la boutique à la recherche de commandes ou de modifications de panier inhabituelles.
• En cas de compromission avérée, restaurer une sauvegarde saine, renouveler les accès concernés et évaluer l'obligation de notifier la CNIL, puisque des données personnelles de clients ont pu être exposées.

Sources

• NVD : fiche CVE-2026-93389 (avis officiel)
• WordPress.org : page de l'extension LiteSpeed Cache
• Wordfence : fiche de la vulnérabilité
• WordPress.org Trac : modification du code de l'extension