Σφάλμα ασφαλείας θέτει σε κίνδυνο 4 εκατομμύρια ιστοσελίδες WordPress

[διαφήμιση_1]

Γράφοντας στο ιστολόγιό της, η ομάδα πληροφοριών για τις απειλές του Wordfence ανέφερε ότι είχε αποκαλύψει υπεύθυνα μια ευπάθεια cross-site scripting (XSS) στο plugin LiteSpeed Cache, ένα δημοφιλές πρόσθετο που είναι εγκατεστημένο σε περισσότερους από 4 εκατομμύρια ιστότοπους WordPress. Η ευπάθεια επιτρέπει σε χάκερ με δικαιώματα συνεισφοράς να εισάγουν κακόβουλα σενάρια χρησιμοποιώντας shortcodes.

Το LiteSpeed Cache είναι ένα πρόσθετο που επιταχύνει τους ιστότοπους WordPress με προσωρινή αποθήκευση και βελτιστοποίηση σε επίπεδο διακομιστή. Αυτό το πρόσθετο παρέχει έναν σύντομο κώδικα που μπορεί να χρησιμοποιηθεί για την προσωρινή αποθήκευση μπλοκ χρησιμοποιώντας την τεχνολογία Edge Side όταν προστίθεται στο WordPress.

Ωστόσο, το Wordfence δήλωσε ότι η υλοποίηση shortcode του plugin ήταν ανασφαλής, επιτρέποντας την εισαγωγή αυθαίρετων σεναρίων σε αυτές τις σελίδες. Μια εξέταση του ευάλωτου κώδικα αποκάλυψε ότι η μέθοδος shortcode δεν έλεγχε επαρκώς τις εισόδους και τις εξόδους. Αυτό επέτρεπε στον απειλητικό παράγοντα να εκτελεί επιθέσεις XSS. Μόλις εισαχθεί σε μια σελίδα ή ανάρτηση, το σενάριο θα εκτελείται κάθε φορά που ένας χρήστης την επισκέπτεται.

Lỗi bảo mật khiến 4 triệu website WordPress gặp nguy hiểm - Ảnh 1. — Το LiteSpeed Cache είναι ένα διάσημο πρόσθετο επιτάχυνσης στην πλατφόρμα WordPress.

Ενώ η ευπάθεια απαιτεί την εγγραφή ενός παραβιασμένου λογαριασμού συνεισφέροντα ή ενός χρήστη ως συνεισφέροντα, το Wordfence ανέφερε ότι ένας εισβολέας θα μπορούσε να κλέψει ευαίσθητες πληροφορίες, να χειραγωγήσει περιεχόμενο ιστότοπου, να επιτεθεί σε διαχειριστές, να επεξεργαστεί αρχεία ή να ανακατευθύνει τους επισκέπτες σε κακόβουλους ιστότοπους.

Το Wordfence δήλωσε ότι επικοινώνησε με την ομάδα ανάπτυξης του LiteSpeed Cache στις 14 Αυγούστου. Η ενημέρωση κώδικα αναπτύχθηκε στις 16 Αυγούστου και κυκλοφόρησε στο WordPress στις 10 Οκτωβρίου. Οι χρήστες πρέπει τώρα να ενημερώσουν το LiteSpeed Cache στην έκδοση 5.7 για να διορθώσουν πλήρως αυτό το ελάττωμα ασφαλείας. Αν και επικίνδυνο, η ενσωματωμένη λειτουργία προστασίας Cross-Site Scripting του τείχους προστασίας του Wordfence βοήθησε στην αποτροπή αυτού του exploit.

[διαφήμιση_2]
Σύνδεσμος πηγής