セキュリティ欠陥により 400 万の WordPress ウェブサイトが危険にさらされる

Wordfenceの脅威インテリジェンスチームはブログに、LiteSpeed Cacheプラグインにおけるクロスサイトスクリプティング（XSS）の脆弱性を責任を持って開示したと述べた。これは、400 万を超える WordPress ウェブサイトにインストールされている人気のプラグインです。この脆弱性により、貢献者権限を持つハッカーがショートコードを使用して悪意のあるスクリプトを挿入できるようになります。

LiteSpeed Cache は、キャッシュとサーバーレベルの最適化のサポートにより WordPress ウェブサイトを高速化するプラグインです。このプラグインは、WordPress に追加したときに Edge Side テクノロジーを使用してブロックを保存するために使用できるショートコードを提供します。

しかし、Wordfence によれば、プラグインのショートコードの実装は安全ではなく、これらのページに任意のスクリプトを挿入できる可能性があるとのことです。脆弱なコードをテストすると、ショートコード方式では入力と出力が適切にチェックされないことがわかります。これにより、脅威の攻撃者は XSS 攻撃を実行できるようになります。ページまたは投稿に含めると、ユーザーがアクセスするたびにスクリプトが実行されます。

LiteSpeed Cacheは、WordPressプラットフォーム上の有名な高速化プラグインです。

この脆弱性を利用するには、投稿者アカウントが侵害されるか、ユーザーが投稿者として登録される必要があるが、Wordfenceによれば、攻撃者は機密情報を盗んだり、ウェブサイトのコンテンツを操作したり、管理者を攻撃したり、ファイルを編集したり、訪問者を悪意のあるウェブサイトにリダイレクトしたりする可能性があるという。

Wordfenceは8月14日にLiteSpeed Cache開発チームに連絡を取ったという。パッチは8月16日に展開され、10月10日にWordPressにリリースされた。ユーザーは現在、このセキュリティ上の欠陥を完全に修正するために、LiteSpeed Cacheをバージョン5.7にアップデートする必要がある。危険ではありますが、Wordfence ファイアウォールに組み込まれたクロスサイトスクリプティング保護により、この攻撃を防ぐことができました。

ソースリンク: https://thanhnien.vn/loi-bao-mat-khien-4-trieu-website-wordpress-gap-nguy-hiem-185231024105157461.htm