في مدونته، أعلن فريق استخبارات التهديدات في Wordfence عن كشفه، بمسؤولية، عن ثغرة أمنية في إضافة LiteSpeed Cache، وهي إضافة شائعة مُثبّتة على أكثر من 4 ملايين موقع ووردبريس. سمحت هذه الثغرة للمخترقين ذوي صلاحيات المساهمة بحقن نصوص برمجية خبيثة باستخدام رموز مختصرة.
LiteSpeed Cache هي إضافة تُسرّع مواقع ووردبريس من خلال التخزين المؤقت وتحسين أداء الخادم. تُوفّر هذه الإضافة رمزًا مختصرًا يُمكن استخدامه لتخزين الكتل مؤقتًا باستخدام تقنية Edge Side عند إضافتها إلى ووردبريس.
مع ذلك، صرّحت شركة Wordfence بأن طريقة استخدام الكود المختصر في الإضافة غير آمنة، مما يسمح بإدخال نصوص برمجية عشوائية في هذه الصفحات. كشف فحص الكود المُعرّض للخطر أن طريقة الكود المختصر لا تتحقق من المدخلات والمخرجات بشكل كافٍ، مما سمح للمُهدّد بتنفيذ هجمات XSS. بمجرد إدخال الكود في صفحة أو منشور، يتم تنفيذه في كل مرة يزوره المستخدم.
LiteSpeed Cache هو مكون إضافي مشهور لتسريع منصة WordPress.
في حين تتطلب الثغرة الأمنية حساب مساهم مخترق أو مستخدم للتسجيل كمساهم، تقول Wordfence أن المهاجم قد يسرق معلومات حساسة، أو يتلاعب بمحتوى موقع الويب، أو يهاجم المسؤولين، أو يعدل الملفات، أو يعيد توجيه الزوار إلى مواقع ويب ضارة.
صرحت شركة Wordfence أنها تواصلت مع فريق تطوير LiteSpeed Cache في 14 أغسطس. نُشر التصحيح في 16 أغسطس، وأُصدر على ووردبريس في 10 أكتوبر. يحتاج المستخدمون الآن إلى تحديث LiteSpeed Cache إلى الإصدار 5.7 لإصلاح هذه الثغرة الأمنية بالكامل. على الرغم من خطورتها، ساعدت ميزة الحماية المدمجة من Cross-Site Scripting في جدار حماية Wordfence في منع هذه الثغرة.
[إعلان 2]
رابط المصدر
تعليق (0)