اشکال در پلاگین کش Litespeed اجازه حمله XSS را می دهد، اکنون به روز رسانی کنید

آسیب پذیری جدیدی در افزونه LiteS،d \u200b\u200bCache برای وردپرس شناسایی شده است که می تواند به مهاجمان احراز هویت نشده اجازه دهد تا کدهای م،ب را به وب سایت ها تزریق کنند.

نقصی که توسط TaiYou از برنامه پاداش باگ Patchstack کشف شد، بر روند ایجاد صف CSS افزونه تأثیر می گذارد و بیش از شش میلیون نصب فعال را تحت تأثیر قرار می دهد.

این آسیب پذیری که به ،وان CVE-2024-47374 ردیابی می شود، یک مشکل ذخیره شده XSS تأیید نشده است که می تواند منجر به افزایش امتیاز یا سرقت داده شود. از تابع "Vary Group" پلاگین استفاده می کند که تغییرات کش را بر اساس نقش های کاربر کنترل می کند.

مهاجمان می توانند این عملکرد را از طریق هدرهای HTTP ساخته شده دستکاری کرده و محتوای م،ب را مستقیماً به پنل مدیریت وردپرس تزریق کنند.

Bachstak توضیح داد: «این آسیب پذیری به این دلیل رخ می دهد که کدی که نمایش صف را کنترل می کند، پا،ازی و ،وج ،وجی را انجام نمی دهد».

برای اینکه ا،پلویت موثر باشد، باید دو تنظیمات در افزونه LiteS،d \u200b\u200bCache فعال شود:

• CSS را ،یب کنید

• یک UCSS ایجاد کنید

اولی چندین فایل CSS را در یک فایل ،یب می کند که بار سرور را کاهش می دهد و عملکرد را بهبود می بخشد. با این حال، هنگامی که فعال است، به کد آسیب پذیر اجازه می دهد تا اجرا شود و دری را برای مهاجم باز می کند تا از نقص سوء استفاده کند.

از سوی دیگر، مورد دوم، فایل های CSS منحصربه فردی را برای هر صفحه ایجاد می کند که متن، با محتوای نمایش داده شده است. اگرچه این ویژگی فرآیند بهینه سازی را بهبود می بخشد، اما این آسیب پذیری را نیز قابل بهره برداری می کند، زیرا صف تولید CSS را در معرض ورودی های بالقوه م،ب قرار می دهد.

درباره آسیب پذیری های افزونه های وردپرس بیشتر بخو،د: چهار میلیون سایت وردپرس در برابر نقص در افزونه های LiteS،d \u200b\u200bآسیب پذیر هستند.

LiteS،d \u200b\u200bدر نسخه 6.5.1 آسیب پذیری را برطرف کرده است، که با استفاده از تابع esc_html، پا،ازی من، ورودی را انجام می دهد تا از تزریق کد م،ب جلوگیری کند.

به کاربران پلاگین LiteS،d \u200b\u200bCache اکیدا توصیه می شود که برای محافظت از سایت های خود در برابر حملات احتمالی، به آ،ین نسخه به روز رس، کنند.

با،تاک افزود: «ما توصیه می کنیم برای هر پیامی که به ،وان یک اعلان اداری نمایش داده می شود، فرار و پا،ازی را اعمال کنید». ما همچنین توصیه می کنیم که مجوز من، یا تأیید مجوز را برای نقاط پای، مسیر استراحت ثبت شده اعمال کنید.»