Säkerhetsbrist sätter 4 miljoner WordPress-webbplatser i fara

Wordfence hotinformationsteam skriver på sin blogg att de ansvarsfullt har avslöjat en sårbarhet för cross-site scripting (XSS) i LiteSpeed ​​Cache-pluginet, ett populärt tillägg som är installerat på mer än 4 miljoner WordPress-webbplatser. Sårbarheten gör det möjligt för hackare med bidragsrättigheter att injicera skadliga skript med hjälp av kortkoder.

LiteSpeed ​​Cache är ett plugin som snabbar upp WordPress-webbplatser med cachning och servernivåoptimering. Detta plugin tillhandahåller en shortcode som kan användas för att cacha block med hjälp av Edge Side-teknik när det läggs till i WordPress.

Wordfence sa dock att pluginets implementering av shortcode var osäker, vilket tillät godtyckliga skript att infogas på dessa sidor. En undersökning av den sårbara koden visade att shortcode-metoden inte kontrollerade in- och utdata tillräckligt. Detta gjorde det möjligt för hotaktören att utföra XSS-attacker. När skriptet väl infogades på en sida eller ett inlägg kördes det varje gång en användare besökte det.

LiteSpeed ​​Cache är ett känt snabbare plugin på WordPress-plattformen.

Även om sårbarheten kräver att ett komprometterat bidragsgivarkonto eller att en användare registrerar sig som bidragsgivare, sa Wordfence att en angripare skulle kunna stjäla känslig information, manipulera webbplatsinnehåll, attackera administratörer, redigera filer eller omdirigera besökare till skadliga webbplatser.

Wordfence uppgav att de kontaktade utvecklingsteamet för LiteSpeed ​​Cache den 14 augusti. Patchen distribuerades den 16 augusti och släpptes till WordPress den 10 oktober. Användare måste nu uppdatera LiteSpeed ​​Cache till version 5.7 för att helt åtgärda denna säkerhetsbrist. Även om den är farlig har den inbyggda Cross-Site Scripting-skyddsfunktionen i Wordfence-brandväggen hjälpt till att förhindra detta utnyttjande.

Källänk: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm