Una vulnerabilidad de seguridad preocupante dentro de un complemento de WordPress ampliamente utilizado, Caché LiteSpeed, ha sido detectado. Seguimiento como CVE-2023-40000, Esta vulnerabilidad ha generado alarmas debido a su potencial para permitir que usuarios no autenticados escale sus privilegios., planteando riesgos importantes para innumerables sitios web de WordPress.
Vulnerabilidad CVE-2023-40000 revelada
descubierto y se da a conocer por el investigador de Patchstack Rafie Muhammad, CVE-2023-40000 expone una falla crítica en las versiones del complemento LiteSpeed Cache anteriores a 5.7.0.1. Esta vulnerabilidad, clasificado como un almacenamiento no autenticado en todo el sitio cross-site scripting (XSS) vulnerabilidad, permite a actores maliciosos explotar mecanismos inadecuados de desinfección de las entradas del usuario y escape de la salida. Con una única solicitud HTTP, Los usuarios no autorizados podrían potencialmente comprometer información confidencial y elevar sus permisos en los sitios de WordPress afectados..
Análisis de raíz de la causa
La causa principal de CVE-2023-40000 radica en la función actualización_cdn_status() dentro del complemento LiteSpeed Cache. La insuficiente higienización de los insumos y el escape de los productos allanan el camino para la explotación, según lo confirmado por expertos en ciberseguridad. Esta supervisión, presente incluso en instalaciones predeterminadas, subraya la necesidad crítica de medidas de seguridad sólidas en el desarrollo de complementos.
Implicaciones y alcance de CVE-2023-40000
Caché LiteSpeed, diseñado para mejorar el rendimiento del sitio web, Tiene la asombrosa cifra de cinco millones de instalaciones en todo el mundo.. La adopción generalizada de este complemento amplifica el impacto de la vulnerabilidad revelada.. La última versión del complemento es 6.1, lanzado en febrero 5, 2024, y se insta a los usuarios de WordPress a actualizar rápidamente sus instalaciones.
No es sorprendente, CVE-2023-40000 no es el primer fallo de seguridad identificado en el complemento LiteSpeed Cache. Sólo cuatro meses antes, Wordfence descubrió otra vulnerabilidad XSS (CVE-2023-4372) en versión 5.7. Esta falla anterior se atribuyó a una desinfección inadecuada de la entrada y a un escape de la salida en los atributos proporcionados por el usuario..
Solo ayer, Informamos de otra vulnerabilidad de WordPress recientemente revelada: CVE-2024-1071 en miembro definitivo. La falla fue descubierta por el investigador de seguridad Christiaan Swiers., con una puntuación CVSS de 9.8 de 10. A la luz de estas revelaciones, Los administradores de sitios web de WordPress deben mantener actualizaciones oportunas y un monitoreo diligente de las vulnerabilidades de los complementos..
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: