WordPress için LiteSpeed Cache eklentisinde, kötü niyetli aktörlerin belirli koşullar altında rastgele JavaScript kodu yürütmesine olanak verebilecek, yüksek önem derecesine sahip yeni bir güvenlik açığı açıklandı.
Kusur şu şekilde izlendi: CVE-2024-47374 (CVSS puanı: 7.2), eklentinin 6.5.0.2’ye kadar olan tüm sürümlerini etkileyen, depolanmış siteler arası komut dosyası çalıştırma (XSS) güvenlik açığı olarak tanımlandı.
Patchstack Alliance araştırmacısı TaiYou’nun sorumlu açıklamasının ardından 25 Eylül 2024’teki 6.5.1 sürümünde bu soruna değinildi.
Patchstack bir raporda, “Kimliği doğrulanmamış herhangi bir kullanıcının hassas bilgileri çalmasına ve bu durumda tek bir HTTP isteği gerçekleştirerek WordPress sitesinde ayrıcalık yükseltmesine izin verebilir” dedi.
Kusur, eklentinin “X-LSCACHE-VARY-VALUE” HTTP başlık değerinin yeterli temizleme ve çıktı kaçağı olmadan ayrıştırılma tarzından kaynaklanıyor ve bu sayede rastgele web komut dosyalarının enjeksiyonuna izin veriliyor.
Bununla birlikte, istismarın başarılı olmasını sağlamak için “CSS Birleştir” ve “UCSS Oluştur” Sayfa Optimizasyonu ayarlarının gerekli olduğunu belirtmekte fayda var.
Kalıcı XSS saldırıları olarak da adlandırılan bu tür güvenlik açıkları, enjekte edilen bir komut dosyasının hedef web sitesinin sunucularında, örneğin bir veritabanında, bir mesaj forumunda, bir ziyaretçi günlüğünde veya bir yorumda kalıcı olarak saklanmasını mümkün kılar.
Bu, şüpheli olmayan bir site ziyaretçisinin istenen kaynağa, örneğin özel hazırlanmış yorumu içeren web sayfasına her girdiğinde, komut dosyasına yerleştirilmiş kötü amaçlı kodun yürütülmesine neden olur.
Saklanan XSS saldırıları, tarayıcı tabanlı saldırılar gerçekleştirmek, hassas bilgileri çalmak ve hatta kimliği doğrulanmış bir kullanıcının oturumunu ele geçirip onlar adına eylemler gerçekleştirmek için silah olarak kullanılabileceğinden ciddi sonuçlara yol açabilir.
En zarar verici senaryo, ele geçirilen kullanıcı hesabının bir site yöneticisine ait olması ve böylece bir tehdit aktörünün web sitesinin kontrolünü tamamen ele geçirmesine ve daha güçlü saldırılar gerçekleştirmesine olanak sağlamasıdır.
WordPress eklentileri ve temaları, meşru web sitelerini tehlikeye atmak isteyen siber suçlular için popüler bir yoldur. Altı milyondan fazla aktif kuruluma sahip LiteSpeed Cache ile eklentideki kusurlar, fırsatçı saldırılar için kazançlı bir saldırı yüzeyi oluşturuyor.
En son yama, eklenti geliştiricilerinin, kimliği doğrulanmamış kullanıcıların rastgele hesapların kontrolünü ele geçirmesine olanak tanıyan başka bir kusuru (CVE-2024-44000, CVSS puanı: 7,5) ele almasından yaklaşık bir ay sonra geldi.
Aynı zamanda, TI WooCommerce Wishlist eklentisinde (CVE-2024-43917, CVSS puanı: 9,8) yama yapılmamış kritik bir SQL enjeksiyon kusurunun açıklanmasının ardından, bu kusur başarılı bir şekilde kullanılırsa herhangi bir kullanıcının WordPress veritabanında rastgele SQL sorguları yürütmesine izin verir. alan.
Bir diğer kritik güvenlik açığı, kimliği doğrulanmamış saldırganların etkilenen sitenin sunucusuna rastgele dosyalar yüklemesine olanak tanıyan ve potansiyel olarak uzaktan kod yürütülmesine yol açan Jupiter X Core WordPress eklentisiyle (CVE-2024-7772, CVSS puanı: 9,8) ilgilidir.
Bu sorun, 4.7.8 sürümünde, “kimliği doğrulanmamış saldırganların oturum açan ilk kullanıcı olarak oturum açmasını mümkün kılan yüksek önem dereceli kimlik doğrulama atlama hatasıyla (CVE-2024-7781, CVSS puanı: 8.1)” birlikte düzeltildi. Wordfence, yönetici hesapları da dahil olmak üzere bir sosyal medya hesabıyla “dedi.