WordPress için LiteSpeed Cache eklentisinde, kötü niyetli aktörlerin belirli koşullar altında rastgele JavaScript kodu yürütmesine olanak verebilecek, yüksek önem derecesine sahip yeni bir güvenlik açığı açıklandı.
Kusur şu şekilde izlendi: CVE-2024-47374 (CVSS puanı: 7,2), depolanan siteler arası komut dosyası oluşturma (XSS) eklentinin 6.5.0.2’ye kadar olan tüm sürümlerini etkileyen güvenlik açığı.
Patchstack Alliance araştırmacısı TaiYou’nun sorumlu açıklamasının ardından 25 Eylül 2024’teki 6.5.1 sürümünde bu soruna değinildi.
Patchstack, “Kimliği doğrulanmamış herhangi bir kullanıcının hassas bilgileri çalmasına ve bu durumda WordPress sitesinde tek bir HTTP isteği gerçekleştirerek ayrıcalık yükseltmesine olanak tanıyabilir.” söz konusu bir raporda.
Kusur, eklentinin “X-LSCACHE-VARY-VALUE” HTTP başlık değerinin yeterli temizleme ve çıktı kaçağı olmadan ayrıştırılma tarzından kaynaklanıyor ve bu sayede rastgele web komut dosyalarının enjeksiyonuna izin veriliyor.
Bununla birlikte, istismarın başarılı olmasını sağlamak için “CSS Birleştir” ve “UCSS Oluştur” Sayfa Optimizasyonu ayarlarının gerekli olduğunu belirtmekte fayda var.
Kalıcı XSS saldırıları olarak da adlandırılan bu tür güvenlik açıkları, enjekte edilen bir komut dosyasının hedef web sitesinin sunucularında, örneğin bir veritabanında, bir mesaj forumunda, bir ziyaretçi günlüğünde veya bir yorumda kalıcı olarak saklanmasını mümkün kılar.
Bu, şüpheli olmayan bir site ziyaretçisinin istenen kaynağa, örneğin özel hazırlanmış yorumu içeren web sayfasına her girdiğinde, komut dosyasına yerleştirilmiş kötü amaçlı kodun yürütülmesine neden olur.
Saklanan XSS saldırıları, tarayıcı tabanlı saldırılar gerçekleştirmek, hassas bilgileri çalmak ve hatta kimliği doğrulanmış bir kullanıcının oturumunu ele geçirip onlar adına eylemler gerçekleştirmek üzere silah haline getirilebileceği için ciddi sonuçlara yol açabilir.
En zarar verici senaryo, ele geçirilen kullanıcı hesabının bir site yöneticisine ait olması ve böylece bir tehdit aktörünün web sitesinin kontrolünü tamamen ele geçirmesine ve daha güçlü saldırılar gerçekleştirmesine olanak sağlamasıdır.
WordPress eklentileri ve temaları, meşru web sitelerini tehlikeye atmak isteyen siber suçlular için popüler bir yoldur. Altı milyondan fazla aktif kuruluma sahip LiteSpeed Cache ile eklentideki kusurlar, fırsatçı saldırılar için kazançlı bir saldırı yüzeyi oluşturuyor.
En son yama, eklenti geliştiricilerinin, kimliği doğrulanmamış kullanıcıların rastgele hesapların kontrolünü ele geçirmesine olanak tanıyan başka bir kusuru (CVE-2024-44000, CVSS puanı: 7,5) ele almasından yaklaşık bir ay sonra geldi.
Aynı zamanda aşağıdakileri de takip eder: ifşa TI WooCommerce Wishlist eklentisindeki (CVE-2024-43917, CVSS puanı: 9,8) yama yapılmamış kritik bir SQL enjeksiyon hatasının tespit edilmesi, başarılı bir şekilde kullanılması durumunda herhangi bir kullanıcının WordPress sitesinin veritabanında rastgele SQL sorguları yürütmesine olanak tanır.
Bir diğer kritik güvenlik açığı, kimliği doğrulanmamış saldırganların etkilenen sitenin sunucusuna rastgele dosyalar yüklemesine olanak tanıyan ve potansiyel olarak uzaktan kod yürütülmesine yol açan Jupiter X Core WordPress eklentisiyle (CVE-2024-7772, CVSS puanı: 9,8) ilgilidir.
Bu sorun, 4.7.8 sürümünde, “kimliği doğrulanmamış saldırganların oturum açan ilk kullanıcı olarak oturum açmasını mümkün kılan yüksek önem dereceli kimlik doğrulama atlama hatasıyla (CVE-2024-7781, CVSS puanı: 8.1)” birlikte düzeltildi. yönetici hesapları da dahil olmak üzere bir sosyal medya hesabıyla,” Wordfence söz konusu.