Eine Sicherheitslücke wurde im LiteSpeed Cache-Plugin für WordPress entdeckt, die es nicht authentifizierten Benutzern ermöglichen könnte, ihre Privilegien zu eskalieren. Die Schwachstelle mit der Bezeichnung CVE-2023-40000 wurde im Oktober 2023 in der Version 5.7.0.1 behoben. Laut dem Forscher Rafie Muhammad von Patchstack leidet das Plugin an einer nicht authentifizierten, standortweiten gespeicherten Cross-Site-Scripting-Schwachstelle, die es jedem nicht authentifizierten Benutzer ermöglichen könnte, sensible Informationen zu stehlen und in diesem Fall die Rechte auf der WordPress-Website durchführen.
LiteSpeed Cache, das zur Verbesserung der Leistung einer Website verwendet wird, hat mehr als fünf Millionen Installationen. Die neueste Version des Plugins ist 6.1, die am 5. Februar 2024 veröffentlicht wurde. Die CVE-2023-40000 ist das Ergebnis eines Mangels an Benutzereingabe-Säuberung und Ausgabeausblendung. Die Schwachstelle liegt in einer Funktion namens update_cdn_status und kann in einer Standardinstallation reproduziert werden.
Muhammad sagte, dass da das XSS-Payload als Admin-Benachrichtigung platziert wird und die Admin-Benachrichtigung auf jeder wp-admin-Endung angezeigt werden kann, diese Schwachstelle auch leicht von jedem Benutzer ausgelöst werden könnte, der Zugriff auf den wp-admin-Bereich hat.
Die Offenlegung erfolgt vier Monate nachdem Wordfence eine weitere XSS-Schwachstelle im selben Plugin (CVE-2023-4372, CVSS-Score: 6.4) aufgrund unzureichender Eingabesäuberung und Ausgabeverblendung auf benutzerbereitgestellten Attributen enthüllt hat. Es wurde in der Version 5.7 behoben. Laut István Márton ist es dadurch möglich, dass authentifizierte Angreifer mit Berechtigungen auf Contributor-Ebene und höher beliebige Webskripte in Seiten einbetten können, die bei jedem Zugriff eines Benutzers auf eine eingefügte Seite ausgeführt werden.