Uma falha de alta gravidade que impacta o plugin LiteSpeed Cache para WordPress está sendo ativamente explorada por atores maliciosos para criar contas de administração falsas em sites suscetíveis.
Essas descobertas vêm da empresa WPScan, que afirmou que a vulnerabilidade (CVE-2023-40000, pontuação CVSS: 8.3) tem sido utilizada para configurar usuários administrativos fraudulentos com os nomes wpsupp‑user e wp‑configuser.
A CVE-2023-40000, que foi divulgada pela Patchstack em fevereiro de 2024, é uma vulnerabilidade armazenada de cross-site scripting (XSS) que poderia permitir a um usuário não autenticado elevar privilégios por meio de solicitações HTTP especialmente elaboradas.
Essa falha foi corrigida em outubro de 2023 na versão 5.7.0.1. É importante notar que a versão mais recente do plugin é a 6.2.0.1, lançada em 25 de abril de 2024.
O LiteSpeed Cache possui mais de 5 milhões de instalações ativas, com estatísticas mostrando que versões diferentes de 5.7, 6.0, 6.1 e 6.2 ainda estão ativas em 16,8% de todos os sites.
De acordo com a empresa de propriedade da Automattic, o malware normalmente injeta nos arquivos do WordPress código JavaScript hospedado em domínios como dns.startservicefounds[.]com e api.startservicefounds[.]com.
A criação de contas de administração em sites do WordPress pode ter consequências severas, pois permite ao ator malicioso obter controle total sobre o site e realizar ações arbitrárias, que vão desde a injeção de malware até a instalação de plugins maliciosos.
Para mitigar possíveis ameaças, os usuários estão sendo aconselhados a aplicar as correções mais recentes, revisar todos os plugins instalados e excluir qualquer arquivo ou pasta suspeitos.
A descoberta ocorre enquanto a Sucuri revelou uma campanha de golpe de redirecionamento chamada Mal.Metrica, que emprega falsas solicitações de verificação CAPTCHA em sites do WordPress infectados para levar os usuários a sites fraudulentos e indesejados, projetados para baixar software duvidoso ou enganar as vítimas a fornecer informações pessoais sob pretexto de receber recompensas.
Assim como o Balada Injector, a atividade se aproveita de falhas de segurança recentemente divulgadas em plugins do WordPress para injetar scripts externos que se passam por serviços de CDN ou análise da web. Até agora, em 2024, 17.449 sites foram comprometidos com o Mal.Metrica.
“Os proprietários de sites WordPress podem considerar habilitar atualizações automáticas para arquivos principais, plugins e temas”, disse Martin. “Os usuários regulares da web também devem ter cuidado ao clicar em links que parecem fora do lugar ou suspeitos.”