經營 WooCommerce 商店時，如果 LiteSpeed Cache 還停在 7.9.1 或更早版本，請核對購物車及結帳回應有沒有被當成公開快取。LiteSpeed 在 2026 年 11 月 4 日公布漏洞細節，Wordfence 的 CVE 紀錄翌日公開。修補早已隨 10 月的 7.9.2 發布。
哪種商店需要處理
| 項目 | 要核對的狀態 |
|---|---|
| 受影響版本 | LiteSpeed Cache 7.9.1 及以前 |
| 修補版本 | 7.9.2 或更新版本 |
| 漏洞條件 | 使用 WooCommerce 購物車或結帳、已有客戶使用，並啟用 REST API 快取 |
問題出在 WooCommerce Store API 的購物車及結帳 GET 回應。受影響版本預設啟用 REST API 快取；如果商店將個人化回應寫入公開快取，快取沒有依購物車權杖或 WooCommerce 工作階段隔開，後來的訪客即使沒有登入、沒有原客戶的 Cookie 或權杖，也可能收到那份回應。
依 Wordfence 的紀錄，外洩內容可能包括姓名、帳單與送貨地址、聯絡資料、購物車內容，以及仍有效的購物車權杖。權杖外洩可影響該購物車或結帳工作階段，不能據此推定 WordPress 帳戶密碼或信用卡號已遭竊。是否曾有客戶資料被取走，仍要看商店的實際配置、快取與紀錄。
更新後，再核對舊快取與購物車隔離
先確認正式站運行的是 7.9.2 或更新版。更新完成後，請維護者清理可能含有舊回應的快取，並核對額外的 CDN 或反向代理是否也會儲存購物車、結帳回應。如果無法立即更新，可先停用 REST API 快取並清除相關舊快取，作為過渡措施。
驗收可用自家測試站和兩個獨立瀏覽器工作階段，以虛構資料建立不同購物車，再各自查看購物車和結帳頁。重點是另一個工作階段看不到前一個的內容，正常商品頁的快取仍可按原設計運作。別用真客戶資料做測試，也別把完整權杖寫進工單或截圖。
如果已有跨客戶回應的跡象，先保留可用日誌、時間範圍和當時的快取設定，再評估哪些工作階段需要作廢。更新並清除各層殘留的快取，能阻止舊內容繼續送出，無法追回已被讀取的資料。
資料核對日期：2026 年 11 月 7 日。封面為 AI 生成的概念插畫。
