Falha de segurança coloca 4 milhões de sites WordPress em risco.

Em uma publicação em seu blog, a equipe de inteligência de ameaças da Wordfence afirmou ter divulgado de forma responsável uma vulnerabilidade de cross-site scripting (XSS) no plugin LiteSpeed ​​Cache, um complemento popular instalado em mais de 4 milhões de sites WordPress. A vulnerabilidade permite que hackers com privilégios de colaborador injetem scripts maliciosos usando shortcodes.

O LiteSpeed ​​Cache é um plugin que acelera sites WordPress com cache e otimização em nível de servidor. Este plugin fornece um shortcode que pode ser usado para armazenar blocos em cache utilizando a tecnologia EdgeSide quando adicionado ao WordPress.

No entanto, a Wordfence afirmou que a implementação do shortcode do plugin era insegura, permitindo a inserção de scripts arbitrários nessas páginas. Uma análise do código vulnerável revelou que o método do shortcode não verificava adequadamente as entradas e saídas. Isso permitiu que o invasor realizasse ataques XSS. Uma vez inserido em uma página ou postagem, o script era executado sempre que um usuário a visitava.

O LiteSpeed ​​Cache é um famoso plugin de otimização de cache para a plataforma WordPress.

Embora a vulnerabilidade exija uma conta de colaborador comprometida ou que um usuário se registre como colaborador, a Wordfence afirmou que um invasor poderia roubar informações confidenciais, manipular o conteúdo do site, atacar administradores, editar arquivos ou redirecionar visitantes para sites maliciosos.

A Wordfence informou que contatou a equipe de desenvolvimento do LiteSpeed ​​Cache em 14 de agosto. A correção foi implementada em 16 de agosto e disponibilizada para o WordPress em 10 de outubro. Os usuários agora precisam atualizar o LiteSpeed ​​Cache para a versão 5.7 para corrigir completamente essa falha de segurança. Embora perigosa, a proteção contra Cross-Site Scripting (XSS) integrada ao firewall da Wordfence ajudou a impedir essa exploração.

Link da fonte: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm