Tin tặc khai thác lỗi LiteSpeed ​​Cache để giành toàn quyền kiểm soát các trang web WordPress

www.tuoitre.vn -   02/05/2024 08:00:00 207

Một lỗ hổng nghiêm trọng có tác động đến plugin bộ đệm Litespeed cho WordPress đang được các tác nhân đe dọa tích cực khai thác để tạo tài khoản quản trị viên lừa đảo trên các trang web nhạy cảm.

Tin tặc khai thác lỗi LiteSpeed ​​Cache để giành toàn quyền kiểm soát các trang web WordPress

Các phát hiện đến từ WPSCAN, cho biết tính dễ bị tổn thương (CVE-2023-40000, điểm CVSS: 8.3) đã được tận dụng để thiết lập người dùng quản trị không có thật với tên WPSUPP-người dùng và WP-Configuser.

CVE-2023-40000, được Patchstack tiết lộ vào tháng 2 năm 2024, là một lỗ hổng kịch bản chéo (XSS) được lưu trữ có thể cho phép người dùng không được chứng minh nâng cao đặc quyền bằng các yêu cầu HTTP được chế tạo đặc biệt.

Lỗ hổng được giải quyết vào tháng 10 năm 2023 tại phiên bản 5.7.0.1. Điều đáng chú ý là phiên bản mới nhất của plugin là 6.2.0.1, được phát hành vào ngày 25 tháng 4 năm 2024.

Litespeed Cache có hơn 5 triệu cài đặt hoạt động, với số liệu thống kê cho thấy các phiên bản khác với 5,7, 6.0, 6.1 và 6.2 vẫn hoạt động trên 16,8% của tất cả các trang web.

Theo công ty thuộc sở hữu của Automattic, phần mềm độc hại thường đưa vào mã JavaScript WordPress được lưu trữ trên các tên miền như dns.startservicefound [.] COM và api.StartServiceFounds [.] COM.

Tạo tài khoản quản trị viên trên các trang web WordPress có thể gây ra hậu quả nghiêm trọng, vì nó cho phép diễn viên đe dọa giành quyền kiểm soát hoàn toàn đối với trang web và thực hiện các hành động tùy ý, từ việc tiêm phần mềm độc hại đến cài đặt các plugin độc hại.

Để giảm thiểu các mối đe dọa tiềm ẩn, người dùng được khuyên nên áp dụng các bản sửa lỗi mới nhất, xem lại tất cả các plugin đã cài đặt và xóa bất kỳ tệp và thư mục đáng ngờ nào.

Hương

TIN CÙNG CHUYÊN MỤC

1 tiện ích Chrome nhiễm mã độc có 280 tr...

04/02/2025 12:00:00 124
SNE tồn tại lâu nhất lên tới 8,5 năm, được gọi là TeleApp, được cập nhật lần cuối vào ngày 13 tháng ...

Không đảm bảo về bảo mật và kiểm duyệt, ...

04/02/2025 12:00:00 141
DeepSeek đi kèm với nhiều phiền toái và cách kiểm duyệt phản hồi cũng rất khắt khe. Vậy tại sao mọi ...

Ứng dụng AI - DeepSeek bị hack và rò rỉ ...

03/02/2025 12:00:00 124
Không chỉ ghi lại địa chỉ email, IP, lịch sử trò chuyện, DeepSeek còn thu thập những thông tin đáng ...

Router Wi-Fi hiệu TP-Link có thể bị Mỹ c...

03/02/2025 12:00:00 93
Chính phủ nghi ngờ các router TP-Link đang bị Trung Quốc khai thác trong những cuộc tấn công mạng và...

Tính năng tìm kiếm mới trên Windows 11 g...

03/02/2025 12:00:00 49
Microsoft đang tích hợp chức năng tìm kiếm của Google Photos vào OneDrive Photos Windows 11.

Lừa đảo quảng cáo độc hại sử dụng Quảng ...

30/01/2025 08:00:00 50
Các nhà nghiên cứu an ninh mạng đã phát hiện ra một chiến dịch quảng cáo độc hại nhắm vào các nhà qu...
Xem thêm

LIÊN HỆ

Thông tin liên hệ

Zalo Button