Bezpečnostní chyba ohrožuje 4 miliony webů na WordPressu

Tým Wordfence pro analýzu hrozeb na svém blogu uvedl, že zodpovědně odhalil zranitelnost umožňující cross-site scripting (XSS) v pluginu LiteSpeed ​​​​Cache, což je populární doplněk nainstalovaný na více než 4 milionech webů WordPress. Tato zranitelnost umožňuje hackerům s oprávněními přispěvatele vkládat škodlivé skripty pomocí krátkých kódů.

LiteSpeed ​​​​Cache je plugin, který zrychluje webové stránky WordPressu pomocí ukládání do mezipaměti a optimalizace na úrovni serveru. Tento plugin poskytuje shortcode, který lze po přidání do WordPressu použít k ukládání bloků do mezipaměti pomocí technologie Edge Side.

Wordfence však uvedl, že implementace shortcodu pluginu byla nezabezpečená a umožňovala vkládání libovolných skriptů do těchto stránek. Prozkoumání zranitelného kódu odhalilo, že metoda shortcodu dostatečně nekontrolovala vstupy a výstupy. To útočníkovi umožňovalo provádět XSS útoky. Po vložení do stránky nebo příspěvku se skript spustil pokaždé, když jej uživatel navštívil.

LiteSpeed ​​​​Cache je známý plugin pro zrychlení na platformě WordPress.

Ačkoli zranitelnost vyžaduje kompromitovaný účet přispěvatele nebo registraci uživatele jako přispěvatele, Wordfence uvedl, že útočník by mohl ukrást citlivé informace, manipulovat s obsahem webových stránek, napadat administrátory, upravovat soubory nebo přesměrovávat návštěvníky na škodlivé webové stránky.

Společnost Wordfence uvedla, že 14. srpna kontaktovala vývojový tým LiteSpeed ​​​​Cache. Oprava byla nasazena 16. srpna a pro WordPress vydána 10. října. Uživatelé nyní musí aktualizovat LiteSpeed ​​​​Cache na verzi 5.7, aby tuto bezpečnostní chybu zcela opravili. Ačkoli je nebezpečná, vestavěná funkce ochrany proti Cross-Site Scriptingu, která je součástí firewallu Wordfence, pomohla tomuto zneužití zabránit.

Zdrojový odkaz: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm