Das Threat Intelligence Team von Wordfence schrieb in seinem Blog, es habe verantwortungsvoll eine Cross-Site-Scripting-Schwachstelle (XSS) im LiteSpeed Cache-Plugin offengelegt, einem beliebten Add-on, das auf über 4 Millionen WordPress-Websites installiert ist. Die Schwachstelle ermöglicht es Hackern mit Mitwirkendenrechten, mithilfe von Shortcodes schädliche Skripte einzuschleusen.
LiteSpeed Cache ist ein Plugin, das WordPress-Websites durch Caching und Optimierung auf Serverebene beschleunigt. Dieses Plugin bietet einen Shortcode, mit dem Blöcke mithilfe der Edge Side-Technologie zwischengespeichert werden können, wenn es zu WordPress hinzugefügt wird.
Wordfence erklärte jedoch, die Shortcode-Implementierung des Plugins sei unsicher und ermögliche das Einfügen beliebiger Skripte in diese Seiten. Eine Untersuchung des anfälligen Codes ergab, dass die Shortcode-Methode die Ein- und Ausgaben nicht ausreichend überprüfte. Dies ermöglichte dem Angreifer XSS-Angriffe. Einmal in eine Seite oder einen Beitrag eingefügt, wurde das Skript bei jedem Besuch eines Benutzers ausgeführt.
LiteSpeed Cache ist ein bekanntes Beschleunigungs-Plugin auf der WordPress-Plattform.
Obwohl für die Sicherheitslücke ein kompromittiertes Mitwirkendenkonto oder die Registrierung eines Benutzers als Mitwirkender erforderlich ist, könnte ein Angreifer laut Wordfence vertrauliche Informationen stehlen, Website-Inhalte manipulieren, Administratoren angreifen, Dateien bearbeiten oder Besucher auf bösartige Websites umleiten.
Wordfence gab an, am 14. August Kontakt zum LiteSpeed Cache-Entwicklungsteam aufgenommen zu haben. Der Patch wurde am 16. August bereitgestellt und am 10. Oktober für WordPress freigegeben. Nutzer müssen LiteSpeed Cache nun auf Version 5.7 aktualisieren, um diese Sicherheitslücke vollständig zu beheben. Obwohl gefährlich, hat der integrierte Cross-Site-Scripting-Schutz der Wordfence-Firewall dazu beigetragen, diesen Exploit zu verhindern.
[Anzeige_2]
Quellenlink
Kommentar (0)