Litespeed Cache dla WordPressa podatny na atak CSRF (CVE-2024-3246)

Co wiadomo

Wtyczka LiteSpeed Cache dla WordPressa do wersji 6.2.0.1 włącznie jest podatna na atak Cross-Site Request Forgery (CSRF) z powodu błędnej lub brakującej walidacji nonce. Atakujący może nakłonić administratora do wykonania złośliwego żądania, co pozwala na zmianę ustawień tokena i wstrzyknięcie złośliwego JavaScript.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom modyfikację ustawień wtyczki poprzez oszukanie administratora, co może prowadzić do wykonania złośliwego kodu na stronie. Może to skutkować naruszeniem bezpieczeństwa witryny, utratą danych lub reputacji. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LiteSpeed Cache u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz edukować administratorów w zakresie unikania klikania w podejrzane linki. Priorytetem jest szybkie załatanie luki i weryfikacja konfiguracji bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference