Miljoenen WordPress-sites kwetsbaar door kritiek lek in LiteSpeed Cache
Miljoenen WordPress-sites lopen het risico om via een kritieke kwetsbaarheid in de plug-in LiteSpeed Cache door aanvallers te worden overgenomen. Een update is beschikbaar, maar een groot aantal websites heeft die nog niet geïnstalleerd. LiteSpeed Cache is een plug-in die ervoor moet zorgen dat WordPress-sites sneller worden geladen. Meer dan vijf miljoen websites maken er gebruik van.
Een kritieke kwetsbaarheid in de plug-in maakt het mogelijk voor een ongeauthenticeerde aanvaller om zijn user ID te spoofen en zich als beheerder te registreren, waarmee vervolgens de website kan worden overgenomen. Daarvoor waarschuwt securitybedrijf Wordfence dat op korte termijn actief misbruik van het beveiligingslek verwacht.
De kwetsbaarheid (CVE-2024-28000), waarvan de impact op een schaal van 1 tot en met 10 beoordeeld is met een 9.8, werd door securitybedrijf Patchstack aan de ontwikkelaars gerapporteerd. Op 13 augustus verscheen versie 6.4 waarin het probleem is opgelost. In de dagen na het uitkomen van de update werd die door zo'n anderhalf miljoen WordPress-sites geïnstalleerd, zo blijkt uit cijfers van WordPress.org, wat inhoudt dat nog miljoenen sites kwetsbaar zijn en risico lopen.
Veilige IT is voor een belangrijk deel ook simpelweg een keuze!
Het is dus inderdaad spaghetti :-)
Hetzelfde bij Android, het probleem zit hem daar in de Apps.
Ja, dat klopt. Ik gebruik zelf Nikola als static site generator. Er valt simpelweg niets te hacken. Geen querystrings, geen database, geen formulieren, gewoon HTML.
Zelfs met de beste wil niet.
De commerciele versie leek mij weinig beter, behalve dat ze snel met QUIC waren, voordat HTTP2.0 er werkelijk was.
Maar heb je weinig aan als browsers daar niks mee doen.
Kortom, dit kritieke lek ...heb ik geen last van.
CDN is overrated.
Hetzelfde bij Android, het probleem zit hem daar in de Apps.
heb een WP site met 3 willekeurige plugins, doe 3 jaar WP niet updaten, en PHP wel,
...dan valt die site vanzelf niet eens meer te hacken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Subsidie
Veel IT-dienstverleners wijzen hun mkb-klanten nu op deze cybersubsidie:
Mijn Cyberweerbare Zaak
Ontdek waarom
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?