Strona główna / Krótkie porady

LiteSpeed Cache: luka ujawnia dane klientów sklepu, zaktualizuj wtyczkę

Wtyczka LiteSpeed Cache do wersji 7.9.1 może w sklepie WooCommerce zapisywać dane koszyka i kasy jako stronę publiczną. Obca osoba bez logowania może wtedy odczytać dane innego klienta. Poprawka jest w wersji 7.9.2, najnowsza to 7.9.3.

Kogo to dotyczy

Stron z WooCommerce i wtyczką LiteSpeed Cache w wersji 7.9.1 lub starszej, jeśli włączone jest buforowanie REST API. To ustawienie domyślne. Zagrożone są imię i nazwisko, adres, e-mail, telefon, zawartość koszyka i dane sesji zakupów. Luka nie dotyczy stron bez WooCommerce, ale wtyczkę i tak warto zaktualizować.

Co zrobić

1. Zaktualizuj. W panelu otwórz Wtyczki i przy LiteSpeed Cache kliknij Zaktualizuj. Najpierw zrób kopię zapasową.
2. Wyczyść cache. Na górnym pasku otwórz LiteSpeed Cache i kliknij Purge All. Inaczej stare zapisane odpowiedzi mogą pozostać.
3. Sprawdź wersję. W Wtyczkach przy LiteSpeed Cache musi być 7.9.2 lub wyższa.

Gdy nie można zaktualizować

Zrób kopię zapasową, w LiteSpeed Cache → Cache → Cache wyłącz Cache REST API, a potem kliknij Purge All. Druga możliwość to tymczasowe wyłączenie wtyczki. Strona będzie wolniejsza, ale dane klientów będą bezpieczne.

Jak poznać, że do tego doszło

Ta luka nie daje dostępu do panelu, więc nie zostawia nowych administratorów ani obcych plików. Szukaj śladów w logu dostępu hostingu: powtarzających się żądań do /wp-json/wc/store/v1/cart i /wp-json/wc/store/v1/checkout z nieznanych adresów. Podejrzane są też zmiany w zamówieniach, których klient nie robił. Jeśli dane wyciekły, potraktuj to jako naruszenie ochrony danych osobowych. Obcy administratorzy lub przekierowania wskazywałyby na inny problem i wymagają sprawdzenia.

Nie masz pewności? Sprawdź stronę w teście strony albo napisz do mnie w sprawie audytu bezpieczeństwa. Wstępna kontrola jest bezpłatna.

Źródło: CVE-2026-93389, Wordfence.