Apa yang terjadi
CVE-2026-109985 (CWE-79, CVSS 6.4) adalah celah cross-site scripting tersimpan pada plugin caching AI/MCP xSpeed: pengguna tingkat kontributor dapat menyuntikkan skrip arbitrer yang dieksekusi dalam konteks pengguna yang mengunjungi halaman.
Mengapa penting
Ini adalah plugin WordPress yang terkait AI/MCP; skrip tersimpan dapat digunakan untuk membajak sesi admin yang mengelola konfigurasi cache/MCP AI dan kredensial penyedia yang ditangani plugin, mengubah XSS tingkat konten menjadi dampak tingkat admin.
Vektor serangan
Penyerang terautentikasi dengan akses tingkat kontributor menyuntikkan skrip web arbitrer melalui parameter 'content' karena sanitasi input/escaping output yang tidak memadai; XSS tersimpan aktif ketika pengguna mana pun mengunjungi halaman yang disuntik.
Sistem yang terdampak
xSpeed Cache: AI-Powered Performance Hub with MCP, Caching & CDN (wpdevteam) hingga 1.4.2
Mitigasi
Terapkan changeset yang telah ditambal (changeset WordPress plugin trac 3749755) / tingkatkan di atas 1.4.2.