Μια νέα σοβαρή ευπάθεια στο WordPress plugin LiteSpeed Cache θα μπορούσε να επιτρέψει σε κακόβουλους φορείς να εκτελέσουν κώδικα JavaScript και να θέσουν σε κίνδυνο sites.
Η ευπάθεια παρακολουθείται ως CVE-2024-47374 (βαθμολογία CVSS: 7.2) και είναι “stored cross-site scripting” (XSS) ζήτημα που επηρεάζει όλες τις εκδόσεις του plugin έως και την 6.5.0.2.
Ο ερευνητής TaiYou ανέφερε την ευπάθεια και οι προγραμματιστές του plugin τη διόρθωσαν κυκλοφορώντας την έκδοση 6.5.1 στις 25 Σεπτεμβρίου 2024.
«Θα μπορούσε να επιτρέψει σε οποιονδήποτε μη εξουσιοδοτημένο χρήστη να κλέψει ευαίσθητες πληροφορίες και να αποκτήσει περισσότερα προνόμια σε ένα WordPress site εκτελώντας ένα μόνο HTTP request», ανέφερε η Patchstack.
Ανακαλύψτε το Νέο Ανθρωποειδές Ρομπότ GR-2!
Δείτε επίσης: Ευπάθειες ασφαλείας στα Houzez WordPress Theme και Plugin
Ωστόσο, χρειάζονται τα Page Optimization settings “CSS Combine” και “Generate UCSS” για να είναι η εκμετάλλευση επιτυχής.
Οι ευπάθειες stored cross-site scripting επιτρέπουν τη μόνιμη αποθήκευση ενός script στους διακομιστές του ιστότοπου στόχου, όπως σε μια βάση δεδομένων, σε ένα φόρουμ μηνυμάτων, σε ένα visitor log ή σε ένα σχόλιο.
Έτσι ο κώδικας που είναι ενσωματωμένος στο script εκτελείται κάθε φορά που ένας επισκέπτης του ιστότοπου βρίσκεται στον ζητούμενο πόρο, για παράδειγμα, την ιστοσελίδα που περιέχει το ειδικά διαμορφωμένο σχόλιο.
Οι Stored XSS επιθέσεις μπορούν να χρησιμοποιηθούν για να παραδώσουν browser-based exploits, να κλέψουν ευαίσθητες πληροφορίες ή ακόμα και να παραβιάσουν το session ενός πιστοποιημένου χρήστη και να εκτελέσουν ενέργειες για λογαριασμό του.
Δείτε επίσης: Το WordPress θα απαιτεί 2FA από τους προγραμματιστές plugin
Το χειρότερο σενάριο είναι να παραβιαστεί ο λογαριασμός του διαχειριστή του site, κάτι που θα επέτρεπε στον επιτιθέμενο να πάρει τον πλήρη έλεγχο του ιστότοπου.
Σημασία προστασίας WordPress
Η προστασία των ιστοσελίδων WordPress είναι ιδιαίτερα σημαντική για πολλούς λόγους. Αρχικά, οι ιστότοποι WordPress είναι πολύ δημοφιλείς, που σημαίνει ότι αποτελούν βασικό στόχο για τους κυβερνοεγκληματίες. Αν ο ιστότοπός σας δεν είναι προστατευμένος, μπορεί να προκληθεί σημαντική ζημιά.
Επιπρόσθετα, ένα μη προστατευόμενο site WordPress μπορεί να υπονομεύσει την εμπιστοσύνη και την αξιοπιστία που έχετε δημιουργήσει με τους πελάτες σας. Εάν τα δεδομένα τους υποκλαπούν, είναι πολύ πιθανό να προσφύγουν νομικά εναντίον σας και να στραφούν σε άλλες εταιρείες.
Δείτε επίσης: LiteSpeed Cache Ευπάθεια: Σε κίνδυνο 6 εκατ. WordPress sites
Η προστασία του ιστοτόπου σας είναι επίσης σημαντική για τη διατήρηση της συνοχής και της αξιοπιστίας του περιεχομένου σας. Αν ένας hacker παραβιάσει τον WordPress ιστότοπό σας και αλλοιώσει το περιεχόμενο, μπορεί να προκληθεί η εντύπωση ότι δεν ασχολείστε αρκετά με τον ιστότοπό σας.
Με άλλα λόγια, η εξασφάλιση της προστασίας του ιστοτόπου WordPress δεν είναι απλά θέμα προστασίας των δεδομένων σας – είναι θέμα διατήρησης της εμπιστοσύνης των πελατών σας, συντήρησης της φήμης της εταιρείας σας και παραμονής στην κορυφή του ανταγωνισμού.
Πηγή: thehackernews.com
