LiteSpeed Cache: zraniteľnosť prezrádza údaje zákazníkov e-shopu, aktualizujte
Plugin LiteSpeed Cache do verzie 7.9.1 môže na e-shope s WooCommerce ukladať obsah košíka a pokladne ako verejnú stránku. Cudzí človek bez prihlásenia sa tak môže dostať k údajom iného zákazníka. Oprava je vo verzii 7.9.2, najnovšia je 7.9.3.
Koho sa to týka
Webov s WooCommerce a pluginom LiteSpeed Cache vo verzii 7.9.1 alebo staršej, ak je zapnuté ukladanie REST API do cache. To je predvolené nastavenie. Ohrozené sú meno, adresa, e-mail, telefón, obsah košíka a údaje o relácii nákupu. Webu bez WooCommerce sa táto diera netýka, plugin napriek tomu aktualizujte.
Čo urobiť
- Aktualizujte. V administrácii otvorte Pluginy, pri LiteSpeed Cache kliknite na Aktualizovať. Vopred si urobte zálohu.
- Vyčistite cache. V hornej lište otvorte LiteSpeed Cache a kliknite na Purge All. Staré uložené odpovede by inak mohli zostať.
- Overte verziu. V Pluginoch musí byť pri LiteSpeed Cache 7.9.2 alebo vyššia.
Keď aktualizovať nejde
Zálohujte web a v LiteSpeed Cache → Cache → Cache vypnite Cache REST API, potom dajte Purge All. Druhá možnosť je plugin dočasne vypnúť. Web bude pomalší, ale údaje zákazníkov budú v bezpečí.
Ako spoznať, že sa to stalo
Táto diera neotvára prístup do administrácie, takže noví administrátori ani cudzie súbory sa po nej nečakajú. Stopy hľadajte v prístupovom logu hostingu: opakované požiadavky na /wp-json/wc/store/v1/cart a /wp-json/wc/store/v1/checkout z neznámych adries. Podozrivé sú aj zmeny v objednávkach, ktoré zákazník nerobil. Ak zistíte, že sa údaje dostali von, riešte to ako únik osobných údajov. Cudzí administrátori alebo presmerovanie by ukazovali na iný problém a treba to skontrolovať.
Nie ste si istí? Web si overte v Teste webu, alebo mi napíšte o bezpečnostnú kontrolu webu. Úvodná kontrola je zdarma.
Zdroj: CVE-2026-93389, Wordfence.