Sicherheitslücke gefährdet 4 Millionen WordPress-Websites

Das Threat Intelligence-Team von Wordfence gab in seinem Blog bekannt, dass es verantwortungsvoll eine Cross-Site-Scripting-Sicherheitslücke (XSS) im LiteSpeed ​​Cache-Plugin offengelegt habe. Dies ist ein beliebtes Plugin, das auf über 4 Millionen WordPress-Websites installiert wurde. Diese Sicherheitslücke ermöglicht es Hackern mit Mitwirkendenberechtigungen, mithilfe von Shortcodes schädliche Skripte einzuschleusen.

LiteSpeed ​​Cache ist ein Plugin, das WordPress-Websites mit Caching und Optimierungsunterstützung auf Serverebene beschleunigt. Dieses Plugin bietet einen Shortcode, der zum Speichern von Blöcken mithilfe der Edge Side-Technologie verwendet werden kann, wenn es zu WordPress hinzugefügt wird.

Wordfence gibt jedoch an, dass die Shortcode-Implementierung des Plugins unsicher ist und das Einfügen beliebiger Skripte in diese Seiten ermöglicht. Das Testen des anfälligen Codes zeigt, dass die Shortcode-Methode die Ein- und Ausgaben nicht ausreichend prüft. Dies ermöglicht Bedrohungsakteuren, XSS-Angriffe durchzuführen. Wenn das Skript in eine Seite oder einen Beitrag eingebunden ist, wird es jedes Mal ausgeführt, wenn ein Benutzer die Seite oder den Beitrag besucht.

LiteSpeed ​​​​Cache ist ein bekanntes Beschleunigungs-Plugin auf der WordPress-Plattform.

Während die Sicherheitslücke ein kompromittiertes Mitwirkendenkonto oder die Registrierung eines Benutzers als Mitwirkender erfordert, könnte ein Angreifer laut Wordfence vertrauliche Informationen stehlen, Website-Inhalte manipulieren, Administratoren angreifen, Dateien bearbeiten oder Besucher auf bösartige Websites umleiten.

Wordfence gab an, am 14. August Kontakt zum LiteSpeed ​​Cache-Entwicklungsteam aufgenommen zu haben. Der Patch wurde am 16. August bereitgestellt und am 10. Oktober für WordPress veröffentlicht. Benutzer müssen LiteSpeed ​​Cache nun auf Version 5.7 aktualisieren, um diese Sicherheitslücke vollständig zu beheben. Obwohl dieser Exploit gefährlich ist, hat der integrierte Cross-Site-Scripting-Schutz der Wordfence-Firewall dazu beigetragen, ihn zu verhindern.

Quellenlink: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm