Một lỗ hổng XSS vừa được phát hiện trong plugin LiteSpeed Cache trên WordPress cho phép kẻ tấn công chưa xác thực leo thang đặc quyền, đánh cắp thông tin nhạy cảm… bằng cách thực hiện một yêu cầu HTTP duy nhất.

Lỗ hổng được định danh là CVE-2023-40000. Tồn tại trong bản 5.7.01 được phát hành tháng 10 năm 2023. Các chuyên gia cho biết lỗ hổng XSS này tồn tại trong 1 thông báo dành cho các quản trị viên và có thể xuất hiện ở tất cả các giao diện quản trị. Vì vậy, bất kỳ ai có quyền truy cập tới các giao diện quản trị website (wp-admin) đều có thể khai thác được lỗ hổng này.

Plugin LiteSpeed Cache được sử dụng để cải thiện hiệu suất trang web và hiện có hơn 5 triệu lượt cài đặt. WordPress cho biết nguyên nhân tồn tại lỗ hổng là do thiếu sót khi kiểm tra dữ liệu đầu vào của người dùng.

Quản trị viên được khuyến cáo nên cập nhật plugin LiteSpeed Cache lên phiên bản mới nhất, triển khai tường lửa WAF để ngăn chặn tấn công XSS, đồng thời quản lý chặt chẽ vai trò và quyền của người dùng.

Bkav