Eine besorgniserregende Sicherheitslücke in einem weit verbreiteten WordPress-Plugin, LiteSpeed-Cache, wurde entdeckt. Verfolgt als CVE-2023-40000, Diese Sicherheitslücke hat Alarm ausgelöst, da sie nicht authentifizierten Benutzern die Möglichkeit gibt, ihre Berechtigungen zu erweitern, stellt erhebliche Risiken für unzählige WordPress-Websites dar.
CVE-2023-40000-Sicherheitslücke aufgedeckt
Entdeckt und offenbart von Patchstack-Forscher Rafie Muhammad, CVE-2023-40000 deckt einen kritischen Fehler in früheren Versionen des LiteSpeed Cache-Plugins auf 5.7.0.1. Diese Schwachstelle, als unauthentifiziert klassifiziert und standortweit gespeichert Cross-Site Scripting (XSS) Verwundbarkeit, ermöglicht es böswilligen Akteuren, eine unzureichende Bereinigung von Benutzereingaben auszunutzen und Ausgabemechanismen zu umgehen. Mit einer einzigen HTTP-Anfrage, Unbefugte Benutzer könnten möglicherweise vertrauliche Informationen gefährden und ihre Berechtigungen auf betroffenen WordPress-Sites erhöhen.
Ursachenanalyse
Die Ursache von CVE-2023-40000 liegt in der Funktion update_cdn_status() innerhalb des LiteSpeed Cache-Plugins. Unzureichende Input-Bereinigung und Output-Escape ebnen den Weg zur Ausbeutung, wie von Cybersicherheitsexperten bestätigt. Dieses Versehen, auch in Standardinstallationen vorhanden, unterstreicht die dringende Notwendigkeit robuster Sicherheitsmaßnahmen bei der Plugin-Entwicklung.
Auswirkungen und Umfang von CVE-2023-40000
LiteSpeed-Cache, Entwickelt, um die Leistung der Website zu verbessern, Weltweit gibt es sage und schreibe fünf Millionen Installationen. Die weit verbreitete Einführung dieses Plugins verstärkt die Auswirkungen der offengelegten Sicherheitslücke. Die neueste Version des Plugins ist 6.1, im Februar veröffentlicht 5, 2024, und WordPress-Benutzer werden dringend gebeten, ihre Installationen umgehend zu aktualisieren.
Nicht überraschend, CVE-2023-40000 ist nicht die erste Sicherheitslücke, die im LiteSpeed Cache-Plugin festgestellt wurde. Nur vier Monate zuvor, Wordfence hat eine weitere XSS-Schwachstelle aufgedeckt (CVE-2023-4372) in Version 5.7. Dieser frühere Fehler wurde auf eine unzureichende Eingabebereinigung und Ausgabe-Escape auf vom Benutzer bereitgestellten Attributen zurückgeführt.
Gerade gestern, Wir haben eine weitere kürzlich bekannt gewordene WordPress-Sicherheitslücke gemeldet: CVE-2024-1071 im Ultimate Member. Der Fehler wurde vom Sicherheitsforscher Christiaan Swiers entdeckt, mit einem CVSS-Score von 9.8 von 10. Angesichts dieser Enthüllungen, WordPress-Website-Administratoren müssen für zeitnahe Updates und eine sorgfältige Überwachung von Plugin-Schwachstellen sorgen.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: