В плъгина LiteSpeed Cache за WordPress е разкрита уязвимост в сигурността, която може да позволи на неупълномощени потребители да увеличат привилегиите си.
Проследена като CVE-2023-40000, уязвимостта е отстранена през октомври 2023 г. във версия 5.7.0.1.
„Този плъгин страда от неавтентифицирана уязвимост [cross-site scripting], съхранявана в целия сайт, и може да позволи на всеки неавтентифициран потребител от кражба на чувствителна информация до, в този случай, повишаване на привилегиите в сайта на WordPress чрез извършване на една HTTP заявка“, заяви изследователят от Patchstack Рафие Мухамад.
LiteSpeed Cache, който се използва за подобряване на производителността на сайтовете, има повече от пет милиона инсталации. Последната версия на плъгина в 6.1, която е пусната на 5 февруари 2024 г.
Компанията за сигурност на WordPress заяви, че CVE-2023-40000 е резултат от липсата на канализация на потребителския вход и избягване на изхода. Уязвимостта се корени във функция с име update_cdn_status() и може да бъде възпроизведена в инсталация по подразбиране.
„Тъй като полезният товар на XSS е поставен като известие за администратора и известието за администратора може да бъде показано на всяка крайна точка на wp-admin, тази уязвимост също така може лесно да бъде задействана от всеки потребител, който има достъп до областта wp-admin“, каза Мухамад.
Разкритието идва четири месеца, след като Wordfence разкри друг XSS недостатък в същия плъгин (CVE-2023-4372, CVSS оценка: 6,4) поради недостатъчна обработка на входа и ескапиране на изхода при атрибути, предоставени от потребителя. Проблемът беше отстранен във версия 5.7.
„Това дава възможност на автентифицирани нападатели с права на ниво сътрудник и по-високо да инжектират произволни уеб скриптове в страници, които ще се изпълняват всеки път, когато потребителят получи достъп до инжектираната страница“, каза Ищван Мартон.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.