Analytical use of cookies
Вразливість Stored XSS у плагіні LiteSpeed Cache для WordPress
Вразливість Stored XSS у плагіні LiteSpeed Cache для WordPress дозволяє інжектувати шкідливий код через REST API. Рекомендується оновлення та посилення контролю доступу.
- CVSS
- 7.2 HIGH
- EPSS
- 28.43%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін LiteSpeed Cache для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через REST API кінцеві точки /wp-json/litespeed/v1/notify_ccss та /wp-json/litespeed/v1/notify_ucss у версіях до 7.7 включно. Зловмисники можуть інжектувати шкідливий JavaScript через CSS-контент, що зберігається без належної санітизації.
Бізнес-вплив
Ця вразливість дозволяє неавторизованим атакам інжектувати довільний JavaScript у контент, що може призвести до компрометації користувацьких сесій, викрадення даних або виконання небажаних дій від імені користувача. Особливо ризиковано, якщо сайт розміщений за зворотним проксі, балансувальником навантаження або CDN з певними налаштуваннями, які можуть обійти IP-базований контроль доступу.
Рекомендовані дії адміністратора
Адміністраторам рекомендується перевірити наявність оновлень плагіна LiteSpeed Cache і застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ до REST API кінцевих точок, переглянути конфігурації проксі та CDN для посилення контролю доступу, а також моніторити логи на предмет підозрілої активності.