LiteSpeed Cache CVE-2023-4372：2023年の保存型XSS修正
過去の告知：この記事は2023年のLiteSpeed Cacheの問題を扱っており、新たに発見された事故ではありません。旧タイトルでは深刻と表現していましたが、Wordfenceが公表したCVSSスコアは6.4、深刻度は中です。
影響バージョンと必要な権限
Wordfenceは、LiteSpeed Cache 5.6以前のESIショートコードに関連する保存型XSSを確認しました。入力のサニタイズと出力のエスケープが不十分なため、寄稿者以上の権限を持つログイン済み利用者がスクリプトを挿入できる可能性がありました。認証なしで誰でも無制限に攻撃できる問題と説明してはいけません。
当時の修正版
2023年10月10日に公開された5.7で、この問題が修正されました。これは当時の修正バージョンであり、5.7が現在の最新版、あるいは今インストールすべき版という意味ではありません。告知のインストール数は潜在的な影響範囲であり、侵害が確認されたサイト数ではありません。
サイト管理者の対応
プラグインとWordPressのバージョンを調べ、信頼できる提供元から現在サポートされている更新を適用し、寄稿者アカウントと不審なコンテンツ変更を確認します。更新と監視を誰が担当するのか、ホスティング契約で確認してください。マネージドサービスでも侵害が不可能になるわけではなく、更新だけで既存の侵入を元に戻すこともできません。