LiteSpeed Cache: zranitelnost prozrazuje údaje zákazníků e-shopu, aktualizujte
Plugin LiteSpeed Cache do verze 7.9.1 může na e-shopu s WooCommerce ukládat obsah košíku a pokladny jako veřejnou stránku. Cizí člověk bez přihlášení se tak může dostat k údajům jiného zákazníka. Oprava je ve verzi 7.9.2, nejnovější je 7.9.3.
Koho se to týká
Webů s WooCommerce a pluginem LiteSpeed Cache ve verzi 7.9.1 nebo starší, pokud je zapnuté ukládání REST API do cache. To je výchozí nastavení. Ohrožené jsou jméno, adresa, e-mail, telefon, obsah košíku a údaje o relaci nákupu. Web bez WooCommerce se tato díra netýká, plugin přesto aktualizujte.
Co udělat
- Aktualizujte. V administraci otevřete Pluginy, u LiteSpeed Cache klikněte na Aktualizovat. Předem si udělejte zálohu.
- Vyčistěte cache. V horní liště otevřete LiteSpeed Cache a klikněte na Purge All. Staré uložené odpovědi by jinak mohly zůstat.
- Ověřte verzi. V Pluginech musí být u LiteSpeed Cache 7.9.2 nebo vyšší.
Když aktualizovat nejde
Zálohujte web a v LiteSpeed Cache → Cache → Cache vypněte Cache REST API, pak dejte Purge All. Druhá možnost je plugin dočasně vypnout. Web bude pomalejší, ale údaje zákazníků budou v bezpečí.
Jak poznat, že se to stalo
Tato díra neotevírá přístup do administrace, takže noví administrátoři ani cizí soubory se po ní nečekají. Stopy hledejte v přístupovém logu hostingu: opakované požadavky na /wp-json/wc/store/v1/cart a /wp-json/wc/store/v1/checkout z neznámých adres. Podezřelé jsou i změny v objednávkách, které zákazník nedělal. Pokud zjistíte, že se údaje dostaly ven, řešte to jako únik osobních údajů. Výskyt cizích administrátorů nebo přesměrování by ukazoval na jiný problém a chce to kontrolu.
Nejste si jistí? Web si ověřte v Testu webu, nebo mi napište o bezpečnostní kontrolu webu. Úvodní kontrola je zdarma.
Zdroj: CVE-2026-93389, Wordfence.