WordPress の LiteSpeed Cache 7.9.1 以下（CVE-2026-93389）: WooCommerce のカート応答が公開キャッシュに入り、認証なしで他の買い物客の住所・メール・セッショントークンを読める恐れ（CVSS 8.2）

WordPress の高速化プラグイン LiteSpeed Cache の 7.9.1 以下に、WooCommerce の買い物客の情報が他人に見えてしまう欠陥（CVE-2026-93389）が登録されました。NVD への登録は 2026-11-05 です。CNA は Wordfence で、NVD 自身の評価はまだありません（状態は Deferred）。

何が起きるか

• 既定の設定（cache-rest=1、REST のキャッシュが有効）では、LiteSpeed が WooCommerce の Store API の GET 応答（/wc/store/v1/cart と /wc/store/v1/checkout）を「公開キャッシュ」として保存します。しかも、Cart-Token や WooCommerce のセッションごとにキャッシュを分けません。
• その結果、ある買い物客のカート・チェックアウトの応答が、あとから来た別の人（Cookie も Token も持たない相手）にキャッシュのヒットとして返されます。
• 認証は要りません。読み出せるのは、請求先・配送先の氏名、会社名、住所、メールアドレス、電話番号、カートの中身と合計額、買い物客のセッション用 JWT（Cart-Token）と nonce、チェックアウトでは order_key です。Token と nonce が漏れるため、カートやチェックアウトのセッション乗っ取りにつながる、と記述されています。
• CWE-200（重要な情報の露出）。対象は WooCommerce と併用していて、REST のキャッシュが既定のままのサイトです。

数値と severity

• CVSS v3.1: 8.2（HIGH、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）。評価元は Wordfence（CNA）です。
• 認証は不要ですが CVSS が 9 に届かないため、severity は high とします。
• CISA の KEV には載っていません（カタログ 2026.11.04 版で確認）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。

修正の状況

• 対象は「7.9.1 以下のすべての版」です。WordPress.org の公開情報では、最新版は 7.9.3（2026-11-03 公開）です。
• 7.9.2（2026-10-20）の変更履歴に「3rd: WooCommerce と NextGEN の purge を修正し、vary のないカート応答を保護」との記述があり、この版で直った可能性があります（推定）。修正がどの版で入ったかを示す公式の記載は、本稿では確認できていません。
• Wordfence の記述に載っている修正コミット（changeset 3757253）の中身は、本稿では開けていません。

対策として考えられること

1. LiteSpeed Cache と WooCommerce を併用しているサイトは、プラグインの版を確認し、7.9.3 以降へ更新します。
2. すぐ更新できない場合は、LiteSpeed Cache の設定で REST のキャッシュを無効にする、または /wc/store/ 配下をキャッシュ対象から外します（推定。設定名は版により異なります）。
3. 更新後、キャッシュを全消去します。すでに公開キャッシュに入った応答が残っていると、更新後も返り続けるおそれがあります（推定）。
4. 漏れた可能性がある場合は、アクセスログで /wc/store/v1/cart・/wc/store/v1/checkout への Cookie なしの GET が大量にないかを見ます（推定）。

未確認の点

• 修正が入った正確な版（7.9.2 か 7.9.3 か）。
• 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。
• Wordfence の脆弱性ページと修正コミットの内容（本稿では開けていません）。
• 影響を受けるサイトの数。
• NVD の最終評価。