В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

Ещё в одном WordPress-плагине нашли опасную уязвимость. На этот раз пострадал проект LiteSpeed Cache, а выявленная брешь позволяет не прошедшим аутентификацию пользователям повысить свои права.

Проблему отслеживают под идентификатором CVE-2023-40000. К счастью, в настоящее время готов патч (в версии 5.7.0.1).

«В сущности, это межсайтовый скриптинг (XSS), позволяющий любому неаутентифицированному пользователю повысить права на сайте с помощью одного HTTP-запроса», — объясняют исследователи из Patchstack.

Плагин LiteSpeed Cache используется для улучшения производительности веб-ресурса. В общей сумме его установили более пяти миллионов владельцев сайтов. Последняя на данный момент версия — 6.1 (выпущена 5 февраля 2024 года).

Причина появления CVE-2023-40000 кроется в недостаточной обработке пользовательского ввода, а именно — в функции update_cdn_status(). Эксплойт успешно работает на конфигурации по умолчанию.

Использовать баг в кибератаке может любой юзер, у которого есть доступ к wp-admin.

 

Напомним, буквально на днях стало известно о критической дыре в WordPress-плагине Ultimate Member, позволяющей провести SQL-инъекцию.

CryptoFlash ускорили и пересертифицировали: ФСБ дала добро до 2029 года

Компания «Аладдин» получила новый сертификат ФСБ России на защищённый флеш-накопитель Aladdin CryptoFlash. Документ № СФ/124-5574 действует до 16 июля 2029 года и подтверждает соответствие устройства требованиям к средствам криптографической защиты информации классов КС1 и КС2.

Вместе с сертификатом накопитель обзавёлся несколькими обновлениями. В список поддерживаемых Linux-систем вошли РЕД ОС 7.3 и 8, «Альт 8 СП Рабочая станция», «Альт Рабочая станция» 10 и ОС «Московской электронной школы».

Графический интерфейс доработали, а скорость чтения и записи увеличили до 11 МБ/с. Не гоночный болид, конечно, зато данные шифруются прямо на борту.

Aladdin CryptoFlash представляет собой USB-накопитель со встроенным аппаратным шифрованием по российскому алгоритму «Магма». Он предназначен для хранения и переноса информации, не содержащей гостайну, включая служебные и конфиденциальные данные с пометкой ДСП.

Устройство относится к классу Clientless: устанавливать дополнительное программное обеспечение на компьютер не требуется. Подключил накопитель — и можно работать без плясок с драйверами и отдельными криптографическими приложениями.

При этом прежний сертификат ФСБ № СФ/124-5342 от 15 декабря 2025 года никто не отменял: он продолжает действовать до 15 декабря 2028-го. Теперь у CryptoFlash сразу два действующих документа — старый остаётся в силе, а новый распространяется на обновлённую версию устройства.

RSS: Новости на портале Anti-Malware.ru