7.2Hoch

CVE-2026-31386

LiteSpeed Technologies OpenLiteSpeed; LiteSpeed Technologies LSWS Enterprise Veröffentlicht: 2026-03-16 08:21 (vor 7 Monaten)

Beschreibung

OpenLiteSpeed and LSWS Enterprise provided by LiteSpeed Technologies contain an OS command injection vulnerability. An arbitrary OS command may be executed by an attacker with the administrative privilege.

Schwachstellentyp (CWE): CWE-78

Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.

Betroffene Produkte und Versionen

Hersteller	Produkt	Versionen
LiteSpeed Technologies	LSWS Enterprise	all versions
LiteSpeed Technologies	OpenLiteSpeed	all versions
litespeedtech	litespeed web server	< 6.3.5
litespeedtech	openlitespeed	≤ 1.9.0

Referenzen und Patches

https://openlitespeed.org/ Product
https://www.litespeedtech.com/products/litespeed-web-server Product
https://jvn.jp/en/jp/JVN22152812/ Third Party Advisory

CPE-Treffer (NVD) (2)

cpe:2.3:a:litespeedtech:litespeed_web_server:*:*:*:*:*:*:*:* < 6.3.5
cpe:2.3:a:litespeedtech:openlitespeed:*:*:*:*:*:*:*:* ≤ 1.9.0

CVSS-Score

7.2Hoch

Quelle: jpcert · CVSS 3.0

Angriffsvektor: Netzwerk
Komplexität: Niedrig
Rechte erforderlich: Hoch
Benutzerinteraktion: Keine
Geltungsbereich: Unverändert
Vertraulichkeit: Hoch
Integrität: Hoch
Verfügbarkeit: Hoch

CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Alle Scores (4)

cna	CVSS 3.0	7.2Hoch
cna	CVSS 4.0	8.6Hoch
vultures@jpcert.or.jp	CVSS 4.0	8.6Hoch
vultures@jpcert.or.jp	CVSS 3.0	7.2Hoch

EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)

1.47%

höher als 74 % aller CVEs

CISA-Bewertung (SSVC)

Ausnutzung: none
Automatisierbar: no
Technische Auswirkung: total

Zeitverlauf

ID reserviert2026-03-09
Veröffentlicht2026-03-16 08:21
Bei IP-DB eingegangen2026-10-24 23:49
Zuletzt aktualisiert2026-06-17 13:33

Vergeben von (CNA): jpcert
NVD-Status: Analyzed

In der Quelle ansehen: CVE.org · NVD

Benachrichtigung bei neuen Schwachstellen in diesen Produkten

E-Mail-Warnungen aktivieren

Kostenlos · mit Konto · jederzeit abbestellbar

Neue CVEs im selben Produkt — LiteSpeed / OpenLiteSpeed

5.9Mittel

CVE-2026-119559 vor 8 Tagen

OpenLiteSpeed through 1.9.4 mTLS Bypass via HTTP/3 SNI and Host Mismatch

litespeedtech openlitespeed

OpenLiteSpeed through 1.9.4 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to evade virtual host client certificate requirements over HTTP/3. Because QuicStream inherits a verifyContext() implementation that alway…

6.7Mittel

CVE-2026-104474 vor 1 Monat

OpenLiteSpeed before 1.9.3 Local Privilege Escalation via lsup.sh Auto-Update

litespeedtech openlitespeed

OpenLiteSpeed before 1.9.3 contains a local privilege escalation vulnerability in admin/misc/lsup.sh that runs unverified update packages from a nobody-writable directory as root. Attackers controlling the nobody web process can replace the package in /usr/lo…

9.4Kritisch

CVE-2026-93903 vor 1 Monat

litespeedtech LiteSpeed Web Server

LiteSpeed Web Server (LSWS) before 6.3.7 build 1 mishandles internal redirect URL validation in a certain "corner case" of %252e%252e double decoding, letting a low-privileged tenant execute code in the context of a different account.

8.8Hoch

CVE-2021-47903 vor 9 Monaten

LiteSpeed Web Server Enterprise 5.4.11 - Command Injection

LiteSpeed Technologies Inc LiteSpeed Web Server Enterprise

LiteSpeed Web Server Enterprise 5.4.11 contains an authenticated command injection vulnerability in the external app configuration interface. Authenticated administrators can inject shell commands through the 'Command' parameter in the server configuration, a…

1.6%EPSS

7.2Hoch

CVE-2021-47855 vor 9 Monaten

Openlitespeed 1.7.9 - 'Notes' Stored Cross-Site Scripting

LiteSpeed Technologies OpenLiteSpeed

Openlitespeed 1.7.9 contains a stored cross-site scripting vulnerability in the dashboard's Notes parameter that allows administrators to inject malicious scripts. Attackers can craft a payload in the Notes field during listener configuration that will execut…

5.3Mittel

CVE-2025-54939 vor 1 Jahr

litespeedtech LSQUIC

LiteSpeed QUIC (LSQUIC) Library before 4.3.1 has an lsquic_engine_packet_in memory leak.