Menulis di blognya, pasukan perisikan ancaman Wordfence berkata ia secara bertanggungjawab mendedahkan kelemahan skrip merentas tapak (XSS) dalam pemalam LiteSpeed Cache, alat tambah popular yang dipasang pada lebih daripada 4 juta tapak WordPress. Kerentanan itu membolehkan penggodam dengan keistimewaan penyumbang menyuntik skrip berniat jahat menggunakan kod pendek.
LiteSpeed Cache ialah pemalam yang mempercepatkan tapak web WordPress dengan caching dan pengoptimuman peringkat pelayan. Pemalam ini menyediakan kod pendek yang boleh digunakan untuk menyekat blok menggunakan teknologi Edge Side apabila ditambahkan pada WordPress.
Walau bagaimanapun, Wordfence berkata pelaksanaan kod pendek pemalam itu tidak selamat, membenarkan skrip sewenang-wenangnya dimasukkan ke dalam halaman ini. Pemeriksaan ke atas kod terdedah mendedahkan bahawa kaedah kod pendek tidak menyemak input dan output dengan secukupnya. Ini membolehkan pelakon ancaman melakukan serangan XSS. Setelah dimasukkan ke dalam halaman atau siaran, skrip akan dilaksanakan setiap kali pengguna melawatinya.
LiteSpeed Cache ialah pemalam mempercepatkan yang terkenal pada platform WordPress.
Walaupun kelemahan memerlukan akaun penyumbang yang terjejas atau pengguna untuk mendaftar sebagai penyumbang, Wordfence berkata penyerang boleh mencuri maklumat sensitif, memanipulasi kandungan tapak web, menyerang pentadbir, mengedit fail atau mengubah hala pelawat ke tapak web berniat jahat.
Wordfence berkata ia telah menghubungi pasukan pembangunan LiteSpeed Cache pada 14 Ogos. Tampung telah digunakan pada 16 Ogos dan dikeluarkan ke WordPress pada 10 Oktober. Pengguna kini perlu mengemas kini LiteSpeed Cache kepada versi 5.7 untuk membetulkan kecacatan keselamatan ini sepenuhnya. Walaupun berbahaya, ciri perlindungan Skrip Silang Tapak terbina dalam tembok api Wordfence telah membantu menghalang eksploitasi ini.
Pautan sumber
Komen (0)