{ "title": "Kwetsbaarheden in LiteSpeed Cache: geschiedenis en exploits sinds 2020", "seo_title": "LiteSpeed Cache-kwetsbaarheden: exploits en patches", "h1": "Kwetsbaarheden in LiteSpeed Cache: geschiedenis en exploits sinds 2020", "description": "De 23 kwetsbaarheden in LiteSpeed Cache van 2020 tot oktober 2026: CVE-2023-40000, CVE-2024-28000 en CVE-2024-44000 misbruikt, gepatchte versies.", "lead": "De gecontroleerde tijdlijn van de 23 kwetsbaarheden in LiteSpeed Cache sinds 2020, de drie die door aanvallers zijn misbruikt, de kwetsbaarheden van 2026 en de instellingen die de risico's beperken.", "language": "nl", "locale": "nl-NL", "type": "article", "url": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/", "canonical": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/", "markdown": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/index.md", "json": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/index.json", "published": "2026-10-18T07:00:00+00:00", "modified": "2026-10-29T07:36:20+00:00", "site": { "name": "WP Masquerade", "url": "https://www.wp-masquerade.com/nl/" }, "translations": [ { "language": "nl", "hreflang": "nl-NL", "title": "Kwetsbaarheden in LiteSpeed Cache: geschiedenis en exploits sinds 2020", "url": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/", "markdown": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/index.md", "json": "https://www.wp-masquerade.com/nl/litespeed-cache-kwetsbaarheden-beveiliging/index.json" }, { "language": "fr", "hreflang": "fr-FR", "title": "Failles LiteSpeed Cache : historique et exploits depuis 2020", "url": "https://www.wp-masquerade.com/fr/failles-securite-litespeed-cache/", "markdown": "https://www.wp-masquerade.com/fr/failles-securite-litespeed-cache/index.md", "json": "https://www.wp-masquerade.com/fr/failles-securite-litespeed-cache/index.json" }, { "language": "en", "hreflang": "en-US", "title": "LiteSpeed Cache vulnerabilities: history and exploits since 2020", "url": "https://www.wp-masquerade.com/litespeed-cache-security-vulnerabilities/", "markdown": "https://www.wp-masquerade.com/litespeed-cache-security-vulnerabilities/index.md", "json": "https://www.wp-masquerade.com/litespeed-cache-security-vulnerabilities/index.json" }, { "language": "es", "hreflang": "es-ES", "title": "Vulnerabilidades de LiteSpeed Cache: historial y exploits desde 2020", "url": "https://www.wp-masquerade.com/es/vulnerabilidades-litespeed-cache/", "markdown": "https://www.wp-masquerade.com/es/vulnerabilidades-litespeed-cache/index.md", "json": "https://www.wp-masquerade.com/es/vulnerabilidades-litespeed-cache/index.json" }, { "language": "de", "hreflang": "de-DE", "title": "LiteSpeed-Cache-Sicherheitslücken: Geschichte und Exploits seit 2020", "url": "https://www.wp-masquerade.com/de/litespeed-cache-sicherheitsluecken/", "markdown": "https://www.wp-masquerade.com/de/litespeed-cache-sicherheitsluecken/index.md", "json": "https://www.wp-masquerade.com/de/litespeed-cache-sicherheitsluecken/index.json" }, { "language": "it", "hreflang": "it-IT", "title": "Vulnerabilità di LiteSpeed Cache: storia ed exploit dal 2020", "url": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-litespeed-cache/", "markdown": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-litespeed-cache/index.md", "json": "https://www.wp-masquerade.com/it/vulnerabilita-sicurezza-litespeed-cache/index.json" }, { "language": "pt", "hreflang": "pt-BR", "title": "Vulnerabilidades do LiteSpeed Cache: histórico e exploits desde 2020", "url": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-litespeed-cache/", "markdown": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-litespeed-cache/index.md", "json": "https://www.wp-masquerade.com/pt/vulnerabilidades-seguranca-litespeed-cache/index.json" } ], "headings": [ { "level": 1, "text": "Kwetsbaarheden in LiteSpeed Cache: geschiedenis en exploits sinds 2020" }, { "level": 2, "text": "LiteSpeed Cache in het kort" }, { "level": 2, "text": "De tijdlijn van de kwetsbaarheden, van 2020 tot oktober 2026" }, { "level": 2, "text": "De opvallendste kwetsbaarheden uitgelegd" }, { "level": 3, "text": "CVE-2023-40000: een XSS gepatcht in 2023, misbruikt in 2024" }, { "level": 3, "text": "Augustus tot oktober 2024: de drie overnames" }, { "level": 3, "text": "CVE-2024-47374: een HTTP-header om script te injecteren" }, { "level": 3, "text": "2021 en 2026: dezelfde valkuil rond QUIC.cloud" }, { "level": 3, "text": "Augustus en september 2026: reacties en vervalste verzoeken" }, { "level": 2, "text": "Wat deze geschiedenis laat zien" }, { "level": 2, "text": "Jezelf beschermen" }, { "level": 3, "text": "Om te onthouden" }, { "level": 2, "text": "Bronnen" }, { "level": 2, "text": "WordPress-beveiliging, zonder ruis", "id": "wpm-nl-box-title" } ], "body": "LiteSpeed Cache is een prestatieplugin, geen beveiligingsplugin, en toch telt de geschiedenis ervan drie door aanvallers misbruikte kwetsbaarheden en twee accountovernames met een score van 9,8. Van december 2020 tot 15 oktober 2026 schrijft de database van WPScan er 23 kwetsbaarheden aan toe. Hier vind je de gecontroleerde tijdlijn, wat elke grote kwetsbaarheid mogelijk maakte en de reflexen die een site beschermen, ook als de patch op zich laat wachten.\n\n## LiteSpeed Cache in het kort\n\nLiteSpeed Cache (slug `litespeed-cache`) wordt sinds januari 2016 gepubliceerd door LiteSpeed Technologies, de uitgever van de webserver LiteSpeed en het [CDN](https://www.wp-masquerade.com/nl/woordenlijst/cdn/) QUIC.cloud. De plugin meldt meer dan 7 miljoen actieve installaties op wordpress.org, wat haar tot de meest verspreide plugins maakt. De paginacache op serverniveau vereist een LiteSpeed-server of QUIC.cloud, maar de optimalisatiefuncties (minificatie en combinatie van CSS en JavaScript, kritieke CSS, lazy loading van afbeeldingen, beeldoptimalisatie, opschonen van de database) werken op elke server, ook [Apache](https://www.wp-masquerade.com/nl/woordenlijst/apache/) of [Nginx](https://www.wp-masquerade.com/nl/woordenlijst/nginx/).\n\nDie reikwijdte verklaart het aanvalsoppervlak. Om elke pagina te herschrijven, analyseert en wijzigt de plugin de HTML, ook de inhoud die bezoekers aanleveren (reacties, HTTP-headers). Om met QUIC.cloud te communiceren, stelt ze endpoints open die gegevens van buitenaf ontvangen. En om de cache van pagina's voor leden voor te verwarmen, kon haar crawler zich voordoen als een ingelogde gebruiker. Elk van die mechanismen heeft minstens één ernstige kwetsbaarheid opgeleverd.\n\n## De tijdlijn van de kwetsbaarheden, van 2020 tot oktober 2026\n\nDe tellingen hieronder gebruiken de database van WPScan, van 26 december 2020 tot 15 oktober 2026: 23 kwetsbaarheden, waarvan 11 gepubliceerd in 2024, en geen enkele in 2022. Patchstack vermeldt hetzelfde aantal records. De tabel bevat de 14 meest significante kwetsbaarheden (uitbuitbaar zonder account, misbruikt of als hoog beoordeeld); de andere worden direct daarna samengevat.\n\n![Verticale tijdlijn van de kwetsbaarheden in LiteSpeed Cache: XSS in de beheeromgeving op 26 december 2020 (3.6.1), omzeilen van de IP-controle van QUIC.cloud naar een stored XSS op 30 november 2021 (4.4.4), CVE-2023-40000 stored XSS zonder account gepubliceerd op 27 februari 2024 en misbruikt in april 2024 (5.7.0.1), CSRF naar XSS op 23 juli 2024 (6.3), CVE-2024-28000 rechtenescalatie misbruikt op 21 augustus 2024 (6.4), CVE-2024-44000 cookies in het debuglogboek op 5 september 2024 (6.5.0.1), CVE-2024-47374 op 30 september 2024 (6.5.1), CVE-2024-50550 op 29 oktober 2024 (6.5.2), reflected XSS op 28 oktober 2025 (7.6), vervalste QUIC.cloud-aanroep naar stored XSS op 26 mei 2026 (7.8), stored XSS via een reactie op 27 augustus 2026 (7.9), SSRF zonder account op 2 september 2026 en reflected XSS via de parameter esi op 18 september 2026 (7.9.1).](https://www.wp-masquerade.com/media/2026/10/chronologie-failles-litespeed-cache-nl.webp)\n\n*De opvallendste kwetsbaarheden in LiteSpeed Cache; een rode cirkel duidt op gedocumenteerd misbruik.*\n\n| Publicatie | Gepatcht in | Type | CVSS | CVE | Account vereist | Misbruik |\n| --- | --- | --- | --- | --- | --- | --- |\n| 30 november 2021 | 4.4.4 | Omzeilen van de IP-controle, daarna stored XSS | 8,1 | CVE-2021-24964 | Geen | Niet gedocumenteerd |\n| 27 februari 2024 | 5.7.0.1 | Stored XSS op de hele site | 8,3 (WPScan 8,8) | CVE-2023-40000 | Geen | Ja, april 2024 (WPScan) |\n| 27 februari 2024 | 5.7.0.1 | Ontbrekende toegangscontrole (CDN-status) | 8,2 (WPScan 5,3) | CVE-2023-45000 | Geen | Niet gedocumenteerd |\n| 23 juli 2024 | 6.3 | CSRF die tot een stored XSS leidt | 6,1 | CVE-2024-3246 | Geen (een beheerder moet klikken) | Niet gedocumenteerd |\n| 21 augustus 2024 | 6.4 | Rechtenescalatie | 9,8 (WPScan 8,1) | CVE-2024-28000 | Geen | Ja, op grote schaal vanaf augustus 2024 (Wordfence) |\n| 5 september 2024 | 6.5.0.1 | Accountovername via het debuglogboek | 9,8 (WPScan 7,5) | CVE-2024-44000 | Geen | Aanvallen waargenomen in 2026 (F5 Labs) |\n| 30 september 2024 | 6.5.1 | Stored XSS via een HTTP-header | 7,1 (WPScan 6,1) | CVE-2024-47374 | Geen | Niet gedocumenteerd |\n| 30 september 2024 | 6.5.1 | Directory traversal | 8,8 (WPScan 4,3) | CVE-2024-47637 | Auteur (volgens WPScan) | Niet gedocumenteerd |\n| 29 oktober 2024 | 6.5.2 | Rechtenescalatie (rolsimulatie) | 8,1 | CVE-2024-50550 | Geen | Niet gedocumenteerd |\n| 28 oktober 2025 | 7.6 | Reflected XSS | 6,1 (WPScan 7,1) | CVE-2025-12450 | Geen (kwaadaardige link) | Niet gedocumenteerd |\n| 26 mei 2026 | 7.8 | Stored XSS via de QUIC.cloud-endpoints | 7,2 | CVE-2026-3375 | Geen | Niet gedocumenteerd |\n| 27 augustus 2026 | 7.9 | Stored XSS via een reactie | 7,2 | CVE-2026-18978 | Geen | Niet gedocumenteerd |\n| 2 september 2026 | 7.9.1 | Server-side request forgery (SSRF) | 7,2 (WPScan 5,8) | CVE-2026-84761 | Geen | Niet gedocumenteerd |\n| 18 september 2026 | 7.9.1 | Reflected XSS via de parameter esi | 4,7 | CVE-2026-76579 | Geen (kwaadaardige link) | Niet gedocumenteerd |\n\n*14 significante kwetsbaarheden van de 23 die tot 15 oktober 2026 in WPScan zijn gepubliceerd. Publicatiedatum bij WPScan; CVSS van de organisatie die de CVE toekende (Patchstack, Wordfence of WPScan), met de WPScan-score tussen haakjes als die afwijkt.*\n\nDe negen andere kwetsbaarheden vereisen een account of een handeling van een beheerder. In 2020 een XSS in de instelling voor het server-IP, alleen voor beheerders (3.6.1). In 2021 een reflected XSS op een beheerpagina (4.4.4). In 2023 een CSRF, gepatcht in 5.3.1, en een stored XSS door een schrijver via de shortcode esi (5.7). In 2024 een stored XSS door een beheerder in de debuginstellingen (6.5), en twee stored XSS die voor schrijvers bereikbaar waren (6.5.1 en 6.5.3). In 2025 een SSRF die voor een redacteur bereikbaar was (7.1). In 2026 een stored XSS door een auteur via afbeeldingsattributen (7.8).\n\n## De opvallendste kwetsbaarheden uitgelegd\n\n### CVE-2023-40000: een XSS gepatcht in 2023, misbruikt in 2024\n\nDeze kwetsbaarheid, op 17 oktober 2023 gemeld door Rafie Muhammad (Patchstack), werd al gepatcht in versie 5.7.0.1 van 25 oktober 2023, maar pas op 27 februari 2024 openbaar gemaakt. De functie die de CDN-status bijwerkt, accepteerde gegevens zonder authenticatie en toonde die zonder escaping opnieuw in een melding in de beheeromgeving. Een anonieme bezoeker kon er dus JavaScript in stoppen, dat daarna in de browser van een beheerder werd uitgevoerd.\n\nOp 3 mei 2024 beschreef WPScan een golf aanvallen op sites die onder 5.7.0.1 waren gebleven, met een piek op 2 april 2024. Het geïnjecteerde script maakte beheerdersaccounts aan met de namen `wpsupp-user` of `wp-configuser`, en één IP-adres had meer dan 1,2 miljoen verkenningsverzoeken verstuurd. De les is duidelijk: de patch bestond al meer dan vijf maanden, en de getroffen sites waren de sites die de plugin niet bijwerkten.\n\n### Augustus tot oktober 2024: de drie overnames\n\nDeze drie kwetsbaarheden worden uitgebreid besproken in ons artikel over de [rechtenescalaties in LiteSpeed Cache in 2024](https://www.wp-masquerade.com/nl/litespeed-cache-privilege-escalatie/); samengevat:\n\n- **CVE-2024-28000** (9,8 volgens Patchstack): het token waarmee de crawler een gebruiker kon simuleren, berustte op ongeveer een miljoen mogelijke waarden, weinig genoeg om met brute force te raden en daarna te misbruiken om een beheerder aan te maken. Gemeld op 1 augustus 2024 door John Blackbourn (14.400 dollar beloning via Patchstack), gepatcht in 6.4 op 13 augustus, gepubliceerd op 21 augustus. Volgens BleepingComputer blokkeerde Wordfence de dag erna meer dan 48.500 aanvallen in 24 uur.\n- **CVE-2024-44000** (9,8): als het debuglogboek was ingeschakeld, registreerde het de sessiecookies in een publiek leesbaar bestand. Gepatcht in 6.5.0.1 op 4 september 2024. In juli 2026 plaatste F5 Labs haar nog op de achtste plaats van de meest aangevallen kwetsbaarheden in juni 2026, met 2.603 waargenomen aanvallen in die maand.\n- **CVE-2024-50550** (8,1): een nieuwe variant van de rolsimulatie, alleen uitbuitbaar met bepaalde crawlerinstellingen. Versie 6.5.2 van 17 oktober 2024 verwijderde de functie voor rolsimulatie.\n\n### CVE-2024-47374: een HTTP-header om script te injecteren\n\nDeze stored XSS, op 24 september 2024 gemeld door onderzoeker TaiYou via het programma van Patchstack, liep via de header `X-LSCACHE-VARY-VALUE`, die zonder opschoning in de wachtrij voor het genereren van CSS werd gekopieerd. Eén anoniem HTTP-verzoek volstond, maar alleen als twee instellingen die standaard uit staan, waren ingeschakeld: \"CSS Combine\" en \"Generate UCSS\". De uitgever stuurde dezelfde dag een patch en bracht versie 6.5.1 uit op 25 september: één dag tussen de melding en de patch.\n\n### 2021 en 2026: dezelfde valkuil rond QUIC.cloud\n\nIn november 2021 toonde Emil Kylander aan dat de plugin de herkomst van QUIC.cloud-aanroepen controleerde op basis van het IP-adres, en dat een eenvoudige header `X-Forwarded-For` volstond om zich als de dienst voor te doen. Gecombineerd met een endpoint dat CSS opsloeg, leverde dat een stored XSS zonder account op (gepatcht in 4.4.4). In mei 2026 herhaalde CVE-2026-3375 het patroon: de REST-endpoints `notify_ccss` en `notify_ucss` sloegen van QUIC.cloud ontvangen CSS zonder opschoning op, en de IP-controle kon achter bepaalde reverse proxy's, load balancers of CDN's worden omzeild. Gemeld op 28 februari 2026 en gepatcht in 7.8 (3 maart 2026). Versie 7.9.1 van 1 september 2026 koos een andere aanpak: volgens de changelog worden alle QUIC.cloud-aanroepen nu gecontroleerd met een handtekening in plaats van op het bron-IP-adres.\n\n### Augustus en september 2026: reacties en vervalste verzoeken\n\nMet CVE-2026-18978, gemeld door Jack Taylor en gepubliceerd op 27 augustus 2026, kon een bezoeker script injecteren via een reactie die alleen uit numerieke tekenverwijzingen bestond, geplaatst in een toegestane tag zoals `code`: die inhoud ontsnapte aan de filtering van WordPress (`wp_kses`) en bereikte een kwetsbare functie van de plugin. De site moest reacties van eerder goedgekeurde auteurs automatisch publiceren en geen naam en e-mailadres vereisen (gepatcht in 7.9, op 5 augustus 2026). CVE-2026-84761, gepubliceerd op 2 september, is een SSRF zonder authenticatie: de plugin kon ertoe worden gebracht verzoeken te sturen naar adressen die de aanvaller koos, ook interne (gepatcht in 7.9.1). CVE-2026-76579 ten slotte, gepubliceerd op 18 september, is een reflected XSS via de parameter `esi`, waarvoor iemand op een kwaadaardige link moet klikken (7.9.1).\n\nOm verwarring te voorkomen: de twee LiteSpeed-kwetsbaarheden die in 2026 aan de KEV-catalogus van CISA werden toegevoegd (CVE-2026-48172 op 26 mei, CVE-2026-54420 op 15 juni), betreffen de cPanel-plugin van LiteSpeed voor hostingproviders, niet de WordPress-plugin. Geen enkele kwetsbaarheid in LiteSpeed Cache staat in die catalogus.\n\n![Staven per jaar volgens WPScan: 1 kwetsbaarheid in 2020 (laag), 2 in 2021 (1 hoog, 1 laag), geen in 2022, 2 in 2023 (gemiddeld), 11 in 2024 (4 hoog, 6 gemiddeld, 1 laag), 2 in 2025 (1 hoog, 1 gemiddeld), 5 in 2026 tot 15 oktober (2 hoog, 3 gemiddeld).](https://www.wp-masquerade.com/media/2026/10/failles-par-annee-litespeed-cache-nl-1.webp)\n\n*Aantal kwetsbaarheden per jaar in de database van WPScan, van 26 december 2020 tot 18 september 2026.*\n\n## Wat deze geschiedenis laat zien\n\n- **XSS-kwetsbaarheden overheersen.** 14 van de 23 records zijn XSS (15 met de CSRF die tot een XSS leidt), waarvan vijf stored XSS die zonder account uitbuitbaar zijn. Een plugin die de HTML van elke pagina herschrijft, werkt onvermijdelijk met onbetrouwbare inhoud.\n- **Interne vertrouwensmechanismen zijn het echte zwakke punt.** Token voor rolsimulatie, debuglogboek, IP-controle van QUIC.cloud: de ernstigste kwetsbaarheden komen van praktische snelkoppelingen voor prestaties die onvoldoende waren beschermd.\n- **De patches komen snel.** Eén dag voor CVE-2024-47374, acht dagen voor CVE-2023-40000, twaalf dagen voor CVE-2024-28000. De uitgever heeft een actief disclosureprogramma bij Patchstack.\n- **De aanvallen richten zich op achterblijvers.** CVE-2023-40000 werd meer dan vijf maanden na de patch misbruikt, en CVE-2024-44000 hoorde bijna twee jaar na de patch nog bij de meest aangevallen kwetsbaarheden.\n- **Een prestatieplugin verdient dezelfde zorg als een beveiligingsplugin.** Ze draait op elke pagina en ontvangt gegevens van bezoekers, wat er net zo goed een doelwit van maakt.\n\nDit tempo is niet uitzonderlijk voor zo'n wijdverbreide software: onze [tijdlijn van de beveiligingsversies van de WordPress-core](https://www.wp-masquerade.com/nl/tijdlijn-kwetsbaarheden-wordpress-core/) en ons artikel over XSS-kwetsbaarheden in WordPress bieden vergelijkingspunten.\n\n*De kwetsbaarheid in het debuglogboek (CVE-2024-44000) samengevat in drie minuten, door Security Daily Review (in het Engels).*\n\n## Jezelf beschermen\n\n- **Controleer de versie** onder Plugins: 7.9.1 of later dicht alle hier vermelde kwetsbaarheden.\n- **Schakel automatische updates in** voor LiteSpeed Cache (zie onze gids over automatische updates van plugins). De aanvallen van 2024 troffen sites die maanden achterliepen.\n- **Controleer op sporen van oude kwetsbaarheden**: onbekende beheerdersaccounts (waaronder `wpsupp-user` en `wp-configuser`), een oud bestand `debug.log` dat je moet verwijderen, sessies die je moet afsluiten als een logboek met cookies openbaar is geweest.\n- **Schakel alleen nuttige opties in**: het debuglogboek alleen voor de duur van een diagnose, en de geavanceerde CSS-optimalisaties alleen als je de winst meet. Draai je niet op een LiteSpeed-server en gebruik je de optimalisaties niet, dan kan een andere cacheplugin volstaan; verwijder plugins die niet meer worden gebruikt (verlaten en overbodige plugins).\n- **Voeg een applicatiefirewall toe** die virtuele patches kan toepassen (vergelijking van WAF's): Patchstack rolde bijvoorbeeld een regel voor CVE-2024-47374 uit op de dag van de melding.\n- **Volg de gepubliceerde kwetsbaarheden** voor je plugins (kwetsbaarheden van plugins in de gaten houden).\n\nWP Masquerade Pro kan je bij dat laatste punt helpen. Het vergelijkt elke dag de geïnstalleerde versies van je plugins en thema's met de openbare database WPVulnerability.net en stuurt je een [kwetsbaarheidsmelding](https://www.wp-masquerade.com/nl/functies/kwetsbare-plugins/) per [e-mail](https://www.wp-masquerade.com/nl/functies/e-mailwaarschuwingen/), met de ernst en de gepatchte versie. De openstaande updates en de kwetsbare sites verschijnen in de klantenzone ([monitoring van sites](https://www.wp-masquerade.com/nl/functies/#surveillance)), en de [integriteitscontrole](https://www.wp-masquerade.com/nl/functies/integriteitscontrole-wordpress/) meldt gewijzigde core-bestanden, nuttig na een compromittering. WP Masquerade dicht geen kwetsbaarheden en is geen firewall: het waarschuwt je, bijwerken moet je zelf doen.\n\n### Om te onthouden\n\n- 23 kwetsbaarheden gepubliceerd in WPScan van december 2020 tot 15 oktober 2026, waarvan 11 in 2024.\n- Drie zijn volgens erkende bronnen misbruikt: CVE-2023-40000, CVE-2024-28000 en CVE-2024-44000.\n- De aanvallen troffen sites die een al maanden beschikbare patch niet hadden toegepast.\n- Aanbevolen minimale versie op 15 oktober 2026: 7.9.1.\n- Automatische updates, opties beperkt tot het nodige en het volgen van kwetsbaarheden blijven de beste verdediging.\n\n## Bronnen\n\n- WordPress.org: LiteSpeed Cache, volledige changelog (https://plugins.svn.wordpress.org/litespeed-cache/trunk/changelog.txt)\n- NVD: CVE-2024-44000 (20 oktober 2024) (https://nvd.nist.gov/vuln/detail/CVE-2024-44000)\n- NVD: CVE-2024-50550 (29 oktober 2024) (https://nvd.nist.gov/vuln/detail/CVE-2024-50550)\n- CISA: Known Exploited Vulnerabilities Catalog (https://www.cisa.gov/known-exploited-vulnerabilities-catalog)\n\nAndere geraadpleegde bronnen: andere CVE-registraties, officiële pagina's van de leveranciers, publicaties van beveiligingsonderzoekers, artikelen uit de vakpers, databases van WPScan en Patchstack.\n\n**Update van 28 oktober 2026:** op 21 oktober 2026 publiceerde WPScan twee zonder account misbruikbare stored-XSS-lekken in LiteSpeed Cache (CVE-2026-113499 en CVE-2026-113500, score 7,5), gepatcht in 7.9.2. Ze treffen alleen sites die bepaalde instellingen gebruiken (CDN-herschrijving of optimalisatie van de lettertypeweergave) en reacties toestaan. Alle details: [LiteSpeed Cache: twee XSS-lekken zonder account, patch in 7.9.2](https://www.wp-masquerade.com/nl/litespeed-cache-xss-lekken-zonder-account/).\n\n## WordPress-beveiliging, zonder ruis\n\nEén e-mail wanneer het ertoe doet: nieuw waargenomen aanvallen, updates van de plugin en praktische gidsen. Geen spam, afmelden met één klik.", "categories": [ "Kwetsbare plugins" ], "format": "application/json" }