Analityczne wykorzystywanie plików cookies
CVE-2023-4372: Luka XSS w wtyczce LiteSpeed Cache dla WordPress
Luka XSS w LiteSpeed Cache do wersji 5.6 umożliwia atakującym wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 97.12%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- litespeed cache
Co wiadomo
Wtyczka LiteSpeed Cache dla WordPress do wersji 5.6 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'esi', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka ta może prowadzić do wykonania złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i może skutkować kradzieżą sesji lub innych informacji. Administratorzy stron WordPress korzystających z LiteSpeed Cache powinni traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami do edycji treści. Atakujący mogą wykorzystać tę podatność do eskalacji ataków na użytkowników i infrastrukturę.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LiteSpeed Cache i jej instalację, jeśli jest dostępna. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto rozważyć przegląd i weryfikację wszystkich treści dodawanych przez użytkowników z uprawnieniami edycyjnymi.