Biztonsági hiba 4 millió WordPress weboldalt veszélyeztet

A Wordfence fenyegetésfelderítő csapata a blogján azt írta, hogy felelősségteljesen nyilvánosságra hoztak egy cross-site scripting (XSS) sebezhetőséget a LiteSpeed ​​Cache bővítményben, egy népszerű kiegészítőben, amely több mint 4 millió WordPress webhelyen van telepítve. A sebezhetőség lehetővé teszi a közreműködői jogosultsággal rendelkező hackerek számára, hogy rosszindulatú szkripteket fecskendezzenek be rövid kódok segítségével.

A LiteSpeed ​​​​Cache egy olyan bővítmény, amely gyorsítótárazás és szerverszintű optimalizálás segítségével felgyorsítja a WordPress webhelyeket. Ez a bővítmény egy rövid kódot biztosít, amely a WordPresshez hozzáadva az Edge Side technológia segítségével blokkok gyorsítótárazására használható.

A Wordfence azonban azt állította, hogy a bővítmény rövidkód-implementációja nem biztonságos, lehetővé téve tetszőleges szkriptek beillesztését ezekre az oldalakra. A sebezhető kód vizsgálata során kiderült, hogy a rövidkód-módszer nem ellenőrizte megfelelően a bemeneteket és kimeneteket. Ez lehetővé tette a támadó számára XSS-támadások végrehajtását. Miután beillesztették egy oldalra vagy bejegyzésbe, a szkript minden alkalommal végrehajtódott, amikor egy felhasználó meglátogatta azt.

A LiteSpeed ​​​​Cache egy népszerű gyorsító bővítmény a WordPress platformon.

Bár a sebezhetőséghez feltört közreműködői fiókra vagy közreműködőként regisztrált felhasználóra van szükség, a Wordfence szerint a támadó bizalmas információkat lophat el, manipulálhatja a weboldal tartalmát, megtámadhatja az adminisztrátorokat, szerkesztheti a fájlokat, vagy átirányíthatja a látogatókat rosszindulatú weboldalakra.

A Wordfence közölte, hogy augusztus 14-én felvette a kapcsolatot a LiteSpeed ​​​​Cache fejlesztőcsapatával. A javítást augusztus 16-án telepítették, és október 10-én adták ki a WordPresshez. A felhasználóknak most frissíteniük kell a LiteSpeed ​​​​Cache-t az 5.7-es verzióra a biztonsági rés teljes javításához. Bár veszélyes, a Wordfence tűzfal beépített Cross-Site Scripting védelmi funkciója segített megakadályozni ezt a támadást.

Forráslink: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm