Falha crítica em plugin popular coloca milhões de sites em risco
Uma grave vulnerabilidade foi descoberta no plugin LiteSpeed Cache para WordPress, expondo milhões de sites a possíveis ataques. Identificada como CVE-2024-50550, essa falha obteve uma pontuação de 8,1 no sistema CVSS e permite que invasores obtenham acesso de administrador sem autenticação, abrindo caminho para a instalação de plugins maliciosos. A atualização que corrige essa falha já está disponível na versão 6.5.2 do LiteSpeed Cache.
Vulnerabilidade e Correções Implementadas
A falha foi detectada na função “is_role_simulation”, responsável pelo sistema de simulação de papéis do plugin. Esse sistema utilizava um hash de segurança considerado fraco, que poderia ser facilmente explorado para simular um usuário autenticado, até mesmo com privilégios de administrador. Para que o ataque ocorra, o plugin precisa estar configurado com parâmetros específicos na função “Crawler”, incluindo a ativação da simulação de papéis e ajustes de carga no servidor. Na atualização, a função de simulação foi desativada e a geração de hashes foi aprimorada, adotando valores aleatórios mais seguros.
Histórico de Vulnerabilidades e Recomendações
Esta é a terceira vulnerabilidade reportada no LiteSpeed Cache nos últimos dois meses, após as CVE-2024-44000 e CVE-2024-47374. A Patchstack, empresa especializada em segurança digital, alerta que administradores de sites devem se manter vigilantes, instalando sempre as atualizações mais recentes para evitar potenciais brechas de segurança.
Preocupações com Plugins Descontinuados
Além disso, especialistas em cibersegurança estão em alerta com a disputa legal entre Automattic e WP Engine, que resultou no abandono de plugins por alguns desenvolvedores do repositório WordPress.org. Essa situação compromete a segurança dos plugins, pois plugins descontinuados deixam de receber atualizações essenciais de segurança, expondo sites a ataques exploráveis.
Fonte: BoletimSec
Saiba mais sobre o Seguro Cyber:
