受歡迎的 LiteSpeed WordPress 外掛修復了一個危害超過 400 萬個網站的漏洞，該漏洞允許駭客上傳惡意腳本。
LiteSpeed於兩個月前的8月14日收到有關該漏洞的通知，並於10月發布了補丁。
跨站腳本 (XSS) 漏洞。
Wordfence 在世界上最受歡迎的 WordPress 快取外掛 LiteSpeed 外掛程式中發現了跨站腳本（XSS）漏洞。
XSS 漏洞通常是一種利用缺乏稱為清理和資料外洩的安全流程的漏洞。
清理是一種過濾可以透過合法輸入（例如聯絡表單）上傳的文件類型的技術。
在特定的 LiteSpeed 漏洞中，短代碼功能的實作允許惡意駭客上傳腳本，而如果適當的資料清理/提取安全協定到位，他們就無法上傳腳本。
WordPress 開發者頁面描述了清理安全實踐：
「不可信資料來自許多來源（使用者、第三方網站，甚至您自己的資料庫！），在使用之前需要進行檢查。
…輸入清理是保護/清理/過濾輸入資料的過程。”
另一個 WordPress 開發者頁面描述了資料外洩的推薦流程，如下所示：
「輸出轉義是透過刪除不需要的資料（例如 HTML 標籤或格式錯誤的腳本）來保護輸出資料的過程。
此過程有助於在將數據呈現給最終用戶之前保護您的數據。”
此特定漏洞要求駭客首先獲得貢獻者等級的權限才能執行攻擊，這使得攻擊比未經身份驗證的其他類型的威脅（無需權限等級）更加複雜。
根據Wordfence：
「這使得威脅行為者可以執行儲存的 XSS 攻擊。一旦腳本被注入到頁面或貼文中，每次使用者造訪受影響的頁面時都會執行該腳本。
儘管此漏洞需要受信任的貢獻者帳戶受到損害或用戶能夠註冊為貢獻者，但成功的威脅參與者可以竊取敏感資訊、操縱網站內容、注入用戶管理、編輯文件或將用戶重定向到所有惡意網站後果嚴重」。
哪些版本的 LiteSpeed 外掛容易受到攻擊？
LiteSpeed Cache 外掛程式版本 5.6 或更低版本容易受到 XSS 攻擊。
我們鼓勵 LiteSpeed Cache 用戶盡快將其外掛程式更新至最新版本 5.7，該版本於 2023 年 10 月 10 日發布。
閱讀Wordfence關於LiteSpeed XSS漏洞的公告：
400 萬個 WordPress 網站受到 LiteSpeed Cache 外掛程式中跨站腳本漏洞的影響
精選圖片由 Shutterstock/Asier Romero 提供
