LiteSpeed Cache · cache
Afeta: sites com a opção HTML Minify ativa e plugins que colocam comentários em dados estruturados (JSON-LD)
Em uma combinação específica de configurações, um visitante pode deixar num comentário um código que roda no navegador de quem abre a página.
Você mesmo
- Atualizar o LiteSpeed Cache para a versão mais recente (7.9.2 ou superior).
- Se não precisar, desativar a opção HTML Minify em LiteSpeed Cache > Page Optimization.
- Manter os comentários com moderação manual.
Seu dev ou hospedagem
- Verificar se algum plugin de SEO/schema insere texto de comentários em blocos JSON-LD.
- Revisar comentários recentes em busca de tags .
- Considerar uma CSP que bloqueie scripts inline.
Detalhes técnicos: A CVE-2026-116763 (Wordfence, publicada em 29/10/2026) descreve XSS armazenado sem autenticação no parâmetro “comment” do LiteSpeed Cache até a 7.9.1. Só é explorável com a opção HTML Minify ativa e quando outro plugin exibe o conteúdo do comentário em um contexto de texto bruto, como um bloco JSON-LD. CVSS 5.4 (complexidade alta). O registro não indica versão corrigida; a 7.9.2 (20/10/2026) traz proteções na minificação de HTML, mas a correção desta CVE não foi confirmada. Sem relato de exploração ativa.
Dados técnicos
CVE-2026-116763 · CVSS 5,4 · Fonte: Wordfence (via OffSeq Radar)