LiteSpeed Cache 5.7 修復 XSS 漏洞

LiteSpeed Cache 外掛在超過四百萬個 WordPress 網站上使用，已在 5.7 版本中修復了一個 XSS 漏洞。該外掛提供一體化網站加速功能、伺服器級快取和一系列最佳化功能。它與 WordPress 多站點以及 WooCommerce 、 bbPress 和 Yoast SEO 等熱門外掛相容，這可能是其受歡迎的原因。

Wordfence 安全研究員 István Márton 發現了這個 XSS 漏洞，並於 2023 年 8 月 14 日負責任地向 LiteSpeed Cache 團隊披露。 Wordfence 安全公告描述了該漏洞如何可能使攻擊者能夠注入惡意指令碼：

WordPress 的 LiteSpeed Cache 外掛在 5.6 及以下版本中，由於對使用者提供的屬性缺乏足夠的輸入清理和輸出轉義，透過 ‘esi’ 短程式碼存在儲存型跨站指令碼漏洞。這使得具有貢獻者級別及以上許可權的經過身份驗證的攻擊者能夠在頁面中注入任意網路指令碼，當使用者訪問被注入的頁面時這些指令碼將被執行。

Márton 還警告說，以前版本的 WordPress 包含一個漏洞，在某些配置下允許未經身份驗證的評論者提供的短程式碼被渲染。自 WordPress 5.9 以來的所有版本都受到此漏洞影響，如果使用者沒有使用 WordPress 的修補版本，該漏洞將使未經身份驗證的攻擊者能夠在易受攻擊的安裝上利用此跨站指令碼漏洞。

LiteSpeed Cache 在 5.7 版本中修復了該漏洞，該版本於 10 月 10 日釋出到 WordPress.org 。儘管更新已經可用兩週，但只有 30% 的外掛使用者群正在執行最新版本。

建議 LiteSpeed Cache 使用者儘快更新到最新的修補版本。檢視 Wordfence 的安全公告瞭解更多詳細資訊和完整的技術分析。