--- title: "WordPress の LiteSpeed Cache 7.9.1 以下（CVE-2026-93389）: WooCommerce のカート応答が公開キャッシュに入り、認証なしで他の買い物客の住所・メール・セッショントークンを読める恐れ（CVSS 8.2）" url: https://n-t-p.io/worldsecurity/articles/litespeed-cache-woocommerce-store-api-cart-cache-leak-cve-2026-93389 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-93389 --- # WordPress の LiteSpeed Cache 7.9.1 以下（CVE-2026-93389）: WooCommerce のカート応答が公開キャッシュに入り、認証なしで他の買い物客の住所・メール・セッショントークンを読める恐れ（CVSS 8.2） > **TL;DR:** LiteSpeed Cache 7.9.1 以下で、WooCommerce の Store API のカート・チェックアウト応答が公開キャッシュに保存され、認証なしの第三者が他の買い物客の住所・メール・セッション Token を読める恐れ（CVE-2026-93389、CVSS 8.2）。最新は 7.9.3。修正された版は未確認。 **要点** - 既定の設定では /wc/store/v1/cart と /checkout の応答が Cart-Token ごとに分けられずに公開キャッシュへ入り、Cookie なしの相手に返される（CWE-200）。 - 読み出せるのは氏名・住所・メール・電話・カートの中身・セッション JWT と nonce・order_key。認証は不要だが CVSS 8.2 のため high。 - 対象は 7.9.1 以下。最新は 7.9.3（11/3）。7.9.2 で関連の修正が入った可能性があるが、修正版は未確認。更新後はキャッシュを全消去する（推定）。 - KEV 掲載なし、EPSS は未算出。悪用・概念実証・NVD の最終評価は未確認。 WordPress の高速化プラグイン LiteSpeed Cache の 7.9.1 以下に、WooCommerce の買い物客の情報が他人に見えてしまう欠陥（CVE-2026-93389）が登録されました。NVD への登録は 2026-11-05 です。CNA は Wordfence で、NVD 自身の評価はまだありません（状態は Deferred）。 ## 何が起きるか - 既定の設定（`cache-rest=1`、REST のキャッシュが有効）では、LiteSpeed が WooCommerce の Store API の GET 応答（`/wc/store/v1/cart` と `/wc/store/v1/checkout`）を「公開キャッシュ」として保存します。しかも、Cart-Token や WooCommerce のセッションごとにキャッシュを分けません。 - その結果、ある買い物客のカート・チェックアウトの応答が、あとから来た別の人（Cookie も Token も持たない相手）にキャッシュのヒットとして返されます。 - 認証は要りません。読み出せるのは、請求先・配送先の氏名、会社名、住所、メールアドレス、電話番号、カートの中身と合計額、買い物客のセッション用 JWT（Cart-Token）と nonce、チェックアウトでは order_key です。Token と nonce が漏れるため、カートやチェックアウトのセッション乗っ取りにつながる、と記述されています。 - CWE-200（重要な情報の露出）。対象は WooCommerce と併用していて、REST のキャッシュが既定のままのサイトです。 ## 数値と severity - CVSS v3.1: 8.2（HIGH、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）。評価元は Wordfence（CNA）です。 - 認証は不要ですが CVSS が 9 に届かないため、severity は high とします。 - CISA の KEV には載っていません（カタログ 2026.11.04 版で確認）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。 ## 修正の状況 - 対象は「7.9.1 以下のすべての版」です。WordPress.org の公開情報では、最新版は 7.9.3（2026-11-03 公開）です。 - 7.9.2（2026-10-20）の変更履歴に「3rd: WooCommerce と NextGEN の purge を修正し、vary のないカート応答を保護」との記述があり、この版で直った可能性があります（推定）。修正がどの版で入ったかを示す公式の記載は、本稿では確認できていません。 - Wordfence の記述に載っている修正コミット（changeset 3757253）の中身は、本稿では開けていません。 ## 対策として考えられること 1. LiteSpeed Cache と WooCommerce を併用しているサイトは、プラグインの版を確認し、7.9.3 以降へ更新します。 2. すぐ更新できない場合は、LiteSpeed Cache の設定で REST のキャッシュを無効にする、または `/wc/store/` 配下をキャッシュ対象から外します（推定。設定名は版により異なります）。 3. 更新後、キャッシュを全消去します。すでに公開キャッシュに入った応答が残っていると、更新後も返り続けるおそれがあります（推定）。 4. 漏れた可能性がある場合は、アクセスログで `/wc/store/v1/cart`・`/wc/store/v1/checkout` への Cookie なしの GET が大量にないかを見ます（推定）。 ## 未確認の点 - 修正が入った正確な版（7.9.2 か 7.9.3 か）。 - 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。 - Wordfence の脆弱性ページと修正コミットの内容（本稿では開けていません）。 - 影響を受けるサイトの数。 - NVD の最終評価。 ## 出典 - [NVD CVE-2026-93389](https://nvd.nist.gov/vuln/detail/CVE-2026-93389) — NIST NVD - [Wordfence 脆弱性情報（NVD の参照先。未取得）](https://www.wordfence.com/threat-intel/vulnerabilities/id/4a66498d-7cf0-4480-b946-94e38f8fd350) — Wordfence - [WordPress.org LiteSpeed Cache 変更履歴（readme.txt）](https://plugins.svn.wordpress.org/litespeed-cache/trunk/readme.txt) — WordPress.org - [FIRST EPSS API（値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-93389) — FIRST - [CISA KEV カタログ（2026.11.04 版）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/litespeed-cache-woocommerce-store-api-cart-cache-leak-cve-2026-93389