Foi divulgada uma nova falha de segurança de alta gravidade no plugin LiteSpeed Cache para WordPress, que poderia permitir a atores maliciosos executar código JavaScript arbitrário sob certas condições.
A falha, identificada como CVE-2024-47374 (pontuação CVSS: 7.2), foi descrita como uma vulnerabilidade de cross-site scripting (XSS) persistente afetando todas as versões do plugin até a versão 6.5.0.2.
Ela foi solucionada na versão 6.5.1 em 25 de setembro de 2024, após a divulgação responsável pelo pesquisador da Patchstack Alliance, TaiYou.
"Isso poderia permitir a qualquer usuário não autenticado, desde roubar informações sensíveis até, neste caso, escalar privilégios no site Wordpress realizando uma única requisição HTTP", disse a Patchstack em um relatório.
A falha decorre da maneira como o valor do cabeçalho HTTP "X-LSCACHE-VARY-VALUE" é analisado sem a devida sanitização e escape de saída, permitindo assim a injeção de scripts web arbitrários.
Dito isso, vale ressaltar que as configurações de Otimização de Página "CSS Combine" e "Generate UCSS" são necessárias para que a exploração seja bem-sucedida.
Também conhecidos como ataques de XSS persistentes, tais vulnerabilidades possibilitam armazenar um script injetado permanentemente nos servidores do site alvo, como em um banco de dados, em um fórum de mensagens, em um log de visitantes ou em um comentário.
Isso faz com que o código malicioso incorporado dentro do script seja executado toda vez que um visitante do site, desavisado, acessa o recurso solicitado, por exemplo, a página da web contendo o comentário especialmente elaborado.
Ataques de XSS persistente podem ter consequências sérias, pois podem ser armados para entregar exploits baseados em navegador, roubar informações sensíveis ou até mesmo sequestrar a sessão de um usuário autenticado e realizar ações em seu nome.
O cenário mais prejudicial é quando a conta de usuário sequestrada é a de um administrador do site, permitindo assim que um ator de ameaças assuma completamente o controle do site e organize ataques ainda mais poderosos.
Plugins e temas do WordPress são avenidas populares para criminosos cibernéticos que buscam comprometer sites legítimos.
Com mais de seis milhões de instalações ativas, falhas no plugin LiteSpeed Cache representam uma superfície de ataque lucrativa para ataques oportunistas.
O último patch chega quase um mês depois que os desenvolvedores do plugin resolveram outra falha (CVE-2024-44000, pontuação CVSS: 7.5) que poderia permitir a usuários não autenticados assumir controle de contas arbitrárias.
Isso também segue a divulgação de uma falha crítica não corrigida de injeção SQL no plugin TI WooCommerce Wishlist (
CVE-2024-43917
, pontuação CVSS: 9.8) que, se explorada com sucesso, permite a qualquer usuário executar consultas SQL arbitrárias no banco de dados do site WordPress.
Outra vulnerabilidade de segurança crítica concerne ao plugin Jupiter X Core WordPress (
CVE-2024-7772
, pontuação CVSS: 9.8) que permite a atacantes não autenticados carregar arquivos arbitrários no servidor do site afetado, potencialmente levando à execução de código remoto.
Ela foi corrigida na versão 4.7.8, juntamente com uma falha de bypass de autenticação de alta gravidade (
CVE-2024-7781
, pontuação CVSS: 8.1) que "torna possível para atacantes não autenticados fazer login como o primeiro usuário a ter feito login com uma conta de mídia social, incluindo contas de administrador", segundo a Wordfence.
Publicidade
Aprenda a criar dispositivos incríveis com o especialista Júlio Della Flora. Tenha acesso a aulas prática que te ensinarão o que há de mais moderno em gadgets de hacking e pentest. Se prepare para o mercado de pentest físico e de sistemas embarcados através da certificação SYH2. Saiba mais...