LiteSpeed Cache WordPress插件中的一个严重漏洞，被识别为CVE-2024-28000，已使数百万网站面临接管攻击的风险。在插件的用户模拟功能中发现的安全漏洞允许未经身份验证的权限升级，这是由于LiteSpeed Cache版本中高达6.3.0.1的弱哈希检查所致。这个流行的开源插件被广泛使用，活跃安装量超过500万次，支持WooCommerce和Yoast SEO等各种工具。来源。 安全研究员John Blackbourn发现了该漏洞，并于8月1日将其报告给Patchstack的漏洞赏金计划。作为回应，LiteSpeed团队迅速开发并于8月13日发布了插件6.4版本的补丁。尽管及时修复，但该漏洞仍构成了重大威胁，使任何未经身份验证的访问者都能获得管理访问权限。这可能导致安装恶意插件、更改关键设置、重定向流量、分发恶意软件或盗窃用户数据。 Patchstack安全研究员Rafie Muhammad解释说，在了解管理员用户ID的情况下，迭代100万个可能的安全哈希值的暴力攻击可以在几小时到一周内授予管理员级别的访问权限。LiteSpeed团队已敦促用户更新到最新版本，以减轻这些风险并保护他们的网站。
