Слабый защитный хеш в плагине кеширования, установленном на миллионах сайтов, позволял повысить права без входа. Обновитесь и проверьте администраторов.
Публично раскрыта: 21 августа 2024
LiteSpeed Cache — один из самых популярных плагинов WordPress, он установлен более чем на 5 млн сайтов. Patchstack сообщил, что функция «имитации пользователя» защищалась слабым подбираемым хешем, поэтому посетитель без входа мог получить права администратора и затем установить вредоносные плагины.
| CVE | Опасность | Уязвимые версии | Исправлено в |
|---|---|---|---|
CVE-2024-28000 | Критическая, CVSS 9.8 (повышение привилегий) | LiteSpeed Cache до 6.3.0.1 | 6.4 (выпущена 13 августа 2024) и новее |
После обновления проверьте раздел Пользователи на незнакомых администраторов.
Источники: Patchstack, NVD CVE-2024-28000.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Новая цепочка эксплойтов даёт root на локальных серверах N-central; атаки начались через несколько часов после публикации. Полного исправления пока нет — срочные проверки.
Читать статьюЭксплуатируемая уязвимость Outlook передаёт хеш NTLM через специальный файл. В этом месяце Microsoft исправила более 1000 уязвимостей — вот приоритеты.
Читать статьюGoogle исправила уже эксплуатируемую уязвимость use-after-free в Chrome. Исправление работает только после перезапуска браузера — как убедиться, что защищён каждый ПК.
Читать статьюНаши инженеры проанализируют вашу текущую инфраструктуру и предложат конкретные улучшения.
