LiteSpeed Cache: kwetsbaarheid lekt klantgegevens van webshops, update nu
De plugin LiteSpeed Cache kan tot en met versie 7.9.1 winkelwagen- en afrekengegevens van WooCommerce opslaan als openbare pagina. Een vreemde kan dan zonder in te loggen de gegevens van een andere klant lezen. Dit is opgelost in versie 7.9.2, de nieuwste versie is 7.9.3.
Voor wie dit geldt
Websites met WooCommerce en LiteSpeed Cache 7.9.1 of ouder, als caching van de REST API aan staat. Dat is de standaardinstelling. Naam, adres, e-mail, telefoonnummer, inhoud van de winkelwagen en gegevens van de winkelsessie lopen risico. Websites zonder WooCommerce hebben geen last van dit lek, maar update de plugin toch.
Wat u moet doen
- Update. Open in de beheeromgeving Plugins en klik bij LiteSpeed Cache op Bijwerken. Maak eerst een back-up.
- Leeg de cache. Open in de bovenste balk LiteSpeed Cache en klik op Purge All. Anders kunnen oude opgeslagen antwoorden blijven staan.
- Controleer de versie. Bij Plugins moet LiteSpeed Cache 7.9.2 of hoger staan.
Als updaten niet lukt
Maak een back-up, zet bij LiteSpeed Cache → Cache → Cache de optie Cache REST API uit en klik op Purge All. U kunt de plugin ook tijdelijk uitschakelen. De website wordt trager, maar de klantgegevens zijn veilig.
Hoe u ziet of het is gebeurd
Dit lek geeft geen toegang tot de beheeromgeving, dus nieuwe beheerders of vreemde bestanden zijn niet te verwachten. Zoek in het toegangslog van uw hosting naar herhaalde verzoeken aan /wp-json/wc/store/v1/cart en /wp-json/wc/store/v1/checkout van onbekende adressen. Ook wijzigingen in bestellingen die de klant niet heeft gedaan zijn verdacht. Zijn er gegevens uitgelekt, behandel dat dan als datalek. Onbekende beheerders of doorverwijzingen wijzen op een ander probleem en moeten worden nagekeken.
Twijfelt u? Controleer uw website met de websitetest, of vraag mij om een beveiligingscheck. De eerste controle is gratis.
Bron: CVE-2026-93389, Wordfence.