WordPressサイトの高速化を図るキャッシュプラグイン「LiteSpeed Cache」に、深刻な脆弱性が発見されています。開発元から対策版がリリースされていますが、2024年2月末にセキュリティ機関から注意喚起が行われた後、最近になってこの脆弱性を狙った攻撃が確認されています。
安全性を確保するため、LiteSpeed Cacheを対策版の5.7.0.1(2023年10月25日リリース)以降にアップデートすることを強く推奨します。至急の対応をお願いいたします。
想定される事象
| 想定される事象 | クロスサイト スクリプティングに対して脆弱性を攻撃された場合、管理者ユーザーが作成される、サイトを乗っ取られる可能性があります。 |
|---|---|
| 発生バージョン | LiteSpeed Cache 5.7 (2023年10月10日 リリース) を含む前のバージョン |
| CVE-ID / CVSS v3 による深刻度 | CVE-2023-40000 / 基本値: 7.2 (高) [Wordfence] |
引用元
LiteSpeed Cache <= 5.7 – Unauthenticated Stored Cross-Site Scripting via ‘nameservers’ and ‘_msg’
This record contains material that is subject to copyright.
Copyright 2012-2023 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2023 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
対策
至急、対策版にアップデートしてください。
当社の「WordPressセキュリティ対策・保守パック」をご利用のお客様では、脆弱性のあるプラグイン「LiteSpeed Cache」を使用されているケースは確認されませんでした。
WordPress プラグイン LiteSpeed Cache 情報 （2023年5月１４日 11時点）
| 最新版 バージョン | 6.2.0.1 (2024/5/９(木)リリース) |
| WordPress バージョン | 4.0またはそれ以降 検証済み最新バージョン : 6.5.3 |
| 有効インストール数 | 5百万以上 |
| プラグイン ページ （日本語） | LiteSpeed Cache – WordPress プラグイン | WordPress.org 日本語 |
| 開発者 ページ （英語） | LiteSpeed | Internet. Accelerated. – LiteSpeed Technologies |
