Se ha revelado una vulnerabilidad de seguridad en el complemento LiteSpeed \u200b\u200bCache para WordPress que podr\u00eda permitir a usuarios no autenticados aumentar sus privilegios.<\/p>\n
Seguimiento como CVE-2023-40000<\/strong>la vulnerabilidad se solucion\u00f3 en octubre de 2023 en la versi\u00f3n 5.7.0.1.<\/p>\n “Este complemento sufre de almacenamiento no autenticado en todo el sitio [cross-site scripting] vulnerabilidad y podr\u00eda permitir que cualquier usuario no autenticado robe informaci\u00f3n confidencial para, en este caso, escalar privilegios en el sitio de WordPress mediante la realizaci\u00f3n de una \u00fanica solicitud HTTP”, dijo el investigador de Patchstack, Rafie Muhammad. dicho<\/a>.<\/p>\n Cach\u00e9 LiteSpeed<\/a>, que se utiliza para mejorar el rendimiento del sitio, tiene m\u00e1s de cinco millones de instalaciones. La \u00faltima versi\u00f3n del complemento es 6.1, que se lanz\u00f3 el 5 de febrero de 2024.<\/p>\n La empresa de seguridad de WordPress dijo que CVE-2023-40000 es el resultado de la falta de desinfecci\u00f3n de las entradas del usuario y salida de escape<\/a>. La vulnerabilidad tiene su origen en una funci\u00f3n denominada update_cdn_status() y se puede reproducir en una instalaci\u00f3n predeterminada. <\/p>\n “Dado que la carga \u00fatil XSS se coloca como un aviso de administrador y el aviso de administrador podr\u00eda mostrarse en cualquier punto final de wp-admin, esta vulnerabilidad tambi\u00e9n podr\u00eda ser activada f\u00e1cilmente por cualquier usuario que tenga acceso al \u00e1rea de wp-admin”, dijo Muhammad.<\/p>\n La divulgaci\u00f3n llega cuatro meses despu\u00e9s de que Wordfence revelara otra falla XSS en el mismo complemento (CVE-2023-4372, puntuaci\u00f3n CVSS: 6.4) debido a una desinfecci\u00f3n de entrada insuficiente y a un escape de salida en los atributos proporcionados por el usuario. Se solucion\u00f3 en la versi\u00f3n 5.7.<\/p>\n “Esto hace posible que atacantes autenticados con permisos de nivel de colaborador y superiores inyecten scripts web arbitrarios en p\u00e1ginas que se ejecutar\u00e1n cada vez que un usuario acceda a una p\u00e1gina inyectada”, Istv\u00e1n M\u00e1rton dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/La-vulnerabilidad-del-complemento-WordPress-LiteSpeed-\u200b\u200bpone-en-riesgo-5.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n