セキュリティ欠陥により400万のWordPressウェブサイトが危険にさらされる

[広告1]

Wordfenceの脅威インテリジェンスチームはブログで、400万以上のWordPressサイトにインストールされている人気のアドオンであるLiteSpeed Cacheプラグインにクロスサイトスクリプティング（XSS）の脆弱性があることを責任を持って公表したと発表しました。この脆弱性により、投稿者権限を持つハッカーはショートコードを使用して悪意のあるスクリプトを挿入することが可能になります。

LiteSpeed Cacheは、キャッシュとサーバーレベルの最適化によりWordPressウェブサイトを高速化するプラグインです。このプラグインは、WordPressに追加することで、Edge Sideテクノロジーを使用してブロックをキャッシュできるショートコードを提供します。

しかし、Wordfenceは、プラグインのショートコードの実装が安全ではなく、これらのページに任意のスクリプトを挿入できると主張しました。脆弱なコードを調査したところ、ショートコード方式が入力と出力を適切にチェックしていないことが判明しました。これにより、脅威アクターはXSS攻撃を実行できました。ページまたは投稿に挿入されたスクリプトは、ユーザーが訪問するたびに実行されます。

Lỗi bảo mật khiến 4 triệu website WordPress gặp nguy hiểm - Ảnh 1. — LiteSpeed Cache は、WordPress プラットフォーム上の有名な高速化プラグインです。

この脆弱性を利用するには、投稿者アカウントが侵害されるか、ユーザーが投稿者として登録される必要があるが、Wordfenceは、攻撃者が機密情報を盗んだり、ウェブサイトのコンテンツを操作したり、管理者を攻撃したり、ファイルを編集したり、訪問者を悪意のあるウェブサイトにリダイレクトしたりする可能性があると述べている。

Wordfenceは、8月14日にLiteSpeed Cache開発チームに連絡を取ったと述べています。パッチは8月16日に展開され、10月10日にWordPressにリリースされました。このセキュリティ欠陥を完全に修正するには、ユーザーはLiteSpeed Cacheをバージョン5.7にアップデートする必要があります。この脆弱性は危険ではありますが、Wordfenceファイアウォールに組み込まれたクロスサイトスクリプティング保護機能により、この脆弱性の悪用は阻止されています。

[広告2]
ソースリンク