LiteSpeed Cache: ejecución de código sin autenticación a través de ESI

El controlador ESI del módulo LiteSpeed Cache (litespeedcache) atiende peticiones públicas, sin login, y hasta la versión 1.6.1 no comprobaba que los parámetros de cada fragmento los hubiera generado la propia tienda. Quien los manipule puede elegir la plantilla que se renderiza con Smarty y el método del módulo que se ejecuta, lo que abre la puerta a ejecutar código en el servidor.

La versión 1.6.2, publicada por LiteSpeed el 30 de octubre de 2026 como actualización de seguridad de emergencia, firma esos parámetros con una clave propia de cada instalación, ignora los valores enviados por POST y filtra plantillas y métodos no válidos.

Explotación

Hay denuncias públicas de ataques a tiendas con la 1.6.1: cuentas de administrador no autorizadas, ficheros PHP maliciosos y módulos instalados sin permiso. LiteSpeed no las ha confirmado.

Qué hacer

1. Actualiza el módulo a la 1.6.2 o posterior. 2. Actualizar no limpia una tienda ya comprometida. Revisa los empleados, los módulos instalados hace poco y los ficheros PHP que no reconozcas. 3. Si encuentras algo, trata la tienda como comprometida: elimina lo añadido, cierra las sesiones del back office y cambia las contraseñas.

Sobre esta ficha

No hay CVE ni GHSA publicados. PSV-2026-0001 es una referencia propia de PrestaShield y la puntuación CVSS es una estimación nuestra a partir del parche, sin reproducir el fallo. El código afectado está presente al menos desde la 1.2.7; se consideran afectadas todas las versiones anteriores a la 1.6.2.