Sikkerhetsfeil setter 4 millioner WordPress-nettsteder i fare

På bloggen sin skrev Wordfence-trusselintelligensteamet at de ansvarlig hadde avslørt en sårbarhet for cross-site scripting (XSS) i LiteSpeed ​​Cache-pluginen, et populært tillegg som er installert på mer enn 4 millioner WordPress-nettsteder. Sårbarheten lar hackere med bidragsyterrettigheter injisere ondsinnede skript ved hjelp av kortkoder.

LiteSpeed ​​Cache er en plugin som fremskynder WordPress-nettsteder med mellomlagring og optimalisering på servernivå. Denne pluginen tilbyr en shortcode som kan brukes til å mellomlagre blokker ved hjelp av Edge Side-teknologi når den legges til WordPress.

Wordfence sa imidlertid at plugin-modulens shortcode-implementering var usikker, noe som tillot at vilkårlige skript ble satt inn på disse sidene. En undersøkelse av den sårbare koden avslørte at shortcode-metoden ikke sjekket input og output tilstrekkelig. Dette tillot trusselaktøren å utføre XSS-angrep. Når skriptet ble satt inn på en side eller et innlegg, ville det kjøres hver gang en bruker besøkte det.

LiteSpeed ​​Cache er en kjent hastighetsøkende plugin på WordPress-plattformen.

Selv om sårbarheten krever at en kompromittert bidragsyterkonto eller en bruker registrerer seg som bidragsyter, sa Wordfence at en angriper kan stjele sensitiv informasjon, manipulere nettstedsinnhold, angripe administratorer, redigere filer eller omdirigere besøkende til ondsinnede nettsteder.

Wordfence opplyste at de kontaktet utviklingsteamet for LiteSpeed ​​Cache 14. august. Oppdateringen ble distribuert 16. august og utgitt til WordPress 10. oktober. Brukere må nå oppdatere LiteSpeed ​​Cache til versjon 5.7 for å fikse denne sikkerhetsfeilen fullstendig. Selv om den er farlig, har den innebygde Cross-Site Scripting-beskyttelsesfunksjonen i Wordfence-brannmuren bidratt til å forhindre denne utnyttelsen.

Kildekobling: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm