פרצת אבטחה מעמידה 4 מיליון אתרי וורדפרס בסכנה

צוות מודיעין האיומים של Wordfence כתב בבלוג שלו כי חשף באחריות פגיעות של cross-site scripting (XSS) בתוסף LiteSpeed ​​​​Cache, תוסף פופולרי המותקן ביותר מ-4 מיליון אתרי וורדפרס. הפגיעות מאפשרת להאקרים בעלי הרשאות תורם להזריק סקריפטים זדוניים באמצעות קודי קיצור.

LiteSpeed ​​​​Cache הוא תוסף שמאיץ אתרי וורדפרס באמצעות אחסון במטמון ואופטימיזציה ברמת השרת. תוסף זה מספק קוד קצר שניתן להשתמש בו כדי לאחסן בלוקים במטמון באמצעות טכנולוגיית Edge Side כאשר הוא נוסף לוורדפרס.

עם זאת, Wordfence מסרה כי יישום הקוד הקצר של התוסף אינו מאובטח, מה שאפשר הכנסת סקריפטים שרירותיים לדפים אלה. בדיקה של הקוד הפגיע גילתה ששיטת הקוד הקצר לא בדקה כראוי את הקלט והפלט. זה אפשר לגורם האיום לבצע התקפות XSS. לאחר הכנסתו לדף או לפוסט, הסקריפט היה מופעל בכל פעם שמשתמש ביקר בו.

LiteSpeed ​​​​Cache הוא תוסף מפורסם להאצת תנועה בפלטפורמת וורדפרס.

בעוד שהפגיעות דורשת מחשבון תורם או משתמש שנפרץ להירשם כתורם, Wordfence אמרה שתוקף יכול לגנוב מידע רגיש, לתמרן תוכן אתר, לתקוף מנהלי מערכת, לערוך קבצים או להפנות מבקרים לאתרים זדוניים.

חברת Wordfence מסרה כי יצרה קשר עם צוות הפיתוח של LiteSpeed ​​​​Cache ב-14 באוגוסט. התיקון נפרס ב-16 באוגוסט ושוחרר לוורדפרס ב-10 באוקטובר. כעת על המשתמשים לעדכן את LiteSpeed ​​​​Cache לגרסה 5.7 כדי לתקן לחלוטין את פגם האבטחה הזה. למרות שהוא מסוכן, תכונת ההגנה המובנית מפני Cross-Site Scripting של חומת האש של Wordfence סייעה במניעת ניצול לרעה זה.

קישור למקור: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm