Edizione: Web Dev

xSpeed corregge uno script nascosto nell’indirizzo di un video

xSpeed Cache Free 1.4.3 e Pro 1.3.3 correggono un XSS sfruttabile da un Contributor. L’aggiornamento gestisce anche la pulizia delle copie in cache.

16/10/2026

Che succede

Il lazy loading di un video dovrebbe soltanto rimandarne il caricamento. In xSpeed Cache, invece, la funzione per i video ospitati sul proprio sito poteva trasferire markup dall’indirizzo del video alla pagina. Un utente con ruolo Contributor poteva sfruttarlo per eseguire script nel browser di chi apriva il post.

Le versioni Free 1.4.3 e Pro 1.3.3, pubblicate il 16 ottobre, correggono il difetto segnalato da Wordfence PRISM come CVE-2026-109985. L’indirizzo viene mantenuto come testo e le pagine locali memorizzate prima dell’aggiornamento vengono svuotate una volta; per Cloudflare resta un avviso finché non viene confermata la pulizia completa della zona configurata.

La release sistema anche un altro errore di contenuto: una risposta Markdown o JSON non deve finire nella cache come pagina HTML. Arrivano inoltre copie Markdown separate e, su scelta del gestore, una cache dedicata ai tablet. La stessa URL può così avere rappresentazioni diverse senza farle finire nello stesso contenitore.

Perché conta

Correggere il codice non rimuove automaticamente tutte le pagine già memorizzate: il changelog distingue la cache locale dalla purge Cloudflare da confermare.

Leggi le fonti

xspeedcache.com plugins.svn.wordpress.org

Vuoi sapere di più su pillole come questa?

Nella stessa edizione

Web Dev