装机量超过 700 万的缓存插件 LiteSpeed Cache，在 10 月 20 日发布 7.9.2，修掉三个漏洞。其中两个可让未登录的评论者在管理员浏览器里执行脚本——听起来绕，后果是站点被接管。
缓存插件是每个站都装的东西，也是权限最大的插件之一：它要改写你的页面输出。一旦它的改写逻辑出错，影响面就是全站。
三个漏洞分别是什么
WPScan 在 10 月 23 日披露，编号是 CVE-2026-113499、CVE-2026-113500、CVE-2026-113501。
前两个（113499、113500）是存储型 XSS，CVSS3.1 评分都是 7.5。根因是同一个：插件的 HTML 优化例程没有限定在样式表内容上，它会把闭合属性用的引号剥掉；再叠加评论作者输出没有转义，一条已发布的评论就能注入事件属性，在访客浏览器里跑脚本——包括登录着的管理员。
第三个（113501）评分 3.1，是权限校验缺失：一个订阅者级别的账号，可以关掉被标记为「不可关闭」的提示，其中就包括「敏感文件可能可以被公开访问」这种警告。危害不在直接接管，在于把风险信号捂住。
触发条件
XSS 那两个要成立，需要两个条件同时满足：攻击者的评论得先被发布出来；以及 HTML 优化功能开着。第一条挡住了不少机会——需要站点允许评论且没有严格审核；第二条是默认配置，很多站都开着。
目前没有在野利用的报告，PoC 计划在 11 月 22 日公开，留给站长一个月的窗口期。
怎么处理
升级到 7.9.2 或更高。这是唯一必要的动作，其他都是补救。
升级过程中顺手做两件事：把新评论先设为待审核，等升完再放开；翻一遍近期的评论和用户列表，看有没有奇怪的账号或带属性的评论内容——正常评论里不该出现 onerror=、onload=这类片段。
如果暂时不能升级，临时缓解是把 HTML 优化相关的选项关掉，切断那条代码路径。但这只是权宜之计。
为什么缓存插件总出这类问题
因为它要做的事本身就很「脏」：把别人的 HTML 读进来，做字符串级的改写，再吐出去。这个过程里，只要有一处没做输出编码，就等于给攻击者开了一个注入点。而它改写的又是全站页面，等于把注入点复制到每一页。
所以对缓存类插件的版本更新，态度应该比对普通插件更积极。它们不是「锦上添花的功能扩展」，而是站在流量入口上的改造器。
给站长的判断清单
你的站如果同时满足这几条，优先级要高一些：装了 LiteSpeed Cache 且版本低于 7.9.2；开了 HTML 优化；允许访客评论且审核不严。三条都中的话，今天就升。
顺便说一句，这个漏洞的另一面是个提醒：管理后台那些「不可关闭」的安全提示，本来是为了保护你，现在证明连这个都能被低权限账号关掉。别把安全提示当成骚扰，它弹出来的时候通常真的有东西要看。
本文根据公开报道整理，主要参考：SecurityOnline报道、WPScan披露（CVE-2026-113499/113500/113501）（2026-10-23）。厂商与项目的后续动作可能继续变化，涉及版本号和漏洞编号请以官方公告为准。
