研究人员在著名的 LiteSpeed Cache WordPress 插件中发现了一个未经身份验证的权限提升漏洞 ( CVE-2024-28000 )，该漏洞存在于 LiteSpeed Cache 6.3.0.1 及更高版本中，是由弱哈希校验引起的。
成功利用该漏洞可使任何未经身份验证的访问者获得管理员级别的访问权限，通过安装恶意插件、更改关键设置、将流量重定向到恶意网站、向访问者分发恶意软件或窃取用户数据，攻击者可以完全接管网站。由于该插件安装量高达500万，预计黑客能够通过创建恶意管理员帐户来控制上百万个网站。
LiteSpeed 团队已开发补丁并与 LiteSpeed Cache 6.4 版一起发布。运行该插件的网站应当立即更新到最新版本。
[消息等级 Level C2 · 简要]