CVE-2024-44000

LiteSpeed Cache – nieuwierzytelnione przejęcie konta przez ujawnione dane logowania

CVSS 9.8v3.1pub. 2024-10-20upd. 2026-04-23

Wtyczka LiteSpeed Cache dla WordPress w wersjach poniżej 6.5.0.1 nieprawidłowo chroni dane uwierzytelniające, umożliwiając atakującemu ominięcie mechanizmu logowania bez posiadania jakichkolwiek uprawnień. Podatność uzyskała ocenę CVSS 9.8, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

Insufficiently Protected Credentials vulnerability in LiteSpeed Technologies LiteSpeed Cache litespeed-cache allows Authentication Bypass.This issue affects LiteSpeed Cache: from n/a through < 6.5.0.1.

🤖 Analiza AI

Jak działa

Podatność wynika z niewystarczającej ochrony przechowywanych lub przesyłanych danych uwierzytelniających (CWE-522). Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może uzyskać dostęp do chronionych danych logowania. Na tej podstawie możliwe jest ominięcie mechanizmu uwierzytelnienia i nieautoryzowane przejęcie kont użytkowników witryny WordPress.

Skutki

Atakujący może przejąć dowolne konto użytkownika w witrynie WordPress, w tym konto administratora, uzyskując pełną kontrolę nad treścią i konfiguracją serwisu. W konsekwencji możliwe jest dalsze kompromitowanie środowiska, instalacja złośliwego oprogramowania lub kradzież danych.

Mitygacja

Należy natychmiast zaktualizować wtyczkę LiteSpeed Cache do wersji 6.5.0.1 lub nowszej. Aktualizację można przeprowadzić bezpośrednio z panelu administracyjnego WordPress lub pobrać ze strony producenta. Zaleca się również przegląd logów dostępu w celu wykrycia ewentualnych prób nieautoryzowanego logowania.

Kogo dotyczy

Wtyczka LiteSpeed Cache dla WordPress w wersjach od n/a do poniżej 6.5.0.1

Uwagi

Szczegółowy opis podatności opublikowany został przez Patchstack. Podatność określana jest jako 'unauthenticated account takeover' — nieuwierzytelnione przejęcie konta.