CVE-2026-109215

Nome do Software Vulnerável e Versões Afetadas LiteSpeed Cache versões anteriores a 7.9.2

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro bbp reply content, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. A exploração é possível se um administrador tiver habilitado o Viewport Images (VPI) e configurado um nome de arquivo VPI que corresponda a uma imagem que o atacante possa incorporar em conteúdo gerado pelo usuário, como tópicos do bbPress onde os participantes podem postar respostas contendo tags img brutas.

Recomendações Atualize o LiteSpeed Cache para a versão 7.9.2 ou posterior. Como mitigação temporária, desative o recurso Viewport Images (VPI) ou restrinja o uso do parâmetro bbp reply content em conteúdos gerados por usuários.