WordPress LiteSpeed Cache プラグイン <= 6.4.1 - パス・トラバーサル脆弱性

このパス・トラバーサル脆弱性は、攻撃者がLiteSpeed Cacheの設定ファイルや、Webサーバーがアクセス可能な他のファイルにアクセスすることを可能にします。攻撃者は、機密情報（データベースの認証情報、APIキー、ソースコードなど）を盗み出し、Webサイトを改ざんしたり、サーバーを完全に制御したりする可能性があります。この脆弱性は、Webサイトの機密性と完全性を脅かす重大なリスクをもたらします。類似の脆弱性は、Webサーバーの設定ミスや、不適切なファイルアクセス制御によって発生することがあります。

WordPress websites utilizing LiteSpeed Cache plugin versions 6.4.1 and earlier are at direct risk. Shared hosting environments are particularly vulnerable, as attackers may be able to exploit this vulnerability to gain access to other websites hosted on the same server. Sites with misconfigured file permissions are also at increased risk.

• wordpress / composer / npm:

grep -r "../" /var/www/html/wp-content/plugins/lite-speed-cache/

• generic web:

curl -I 'https://your-wordpress-site.com/../../../../etc/passwd' # Check for file disclosure

1. 2024-10-16Disclosure

   disclosure

1. 予約済み2024-09-30
2. 公開日2024-10-16
3. EPSS 更新日2026-04-02

LiteSpeed Cache 6.4.2へのアップデートが推奨されます。アップデートできない場合は、Webサーバーの設定を見直し、LiteSpeed Cacheがアクセスできるファイルの範囲を制限してください。WAF（Web Application Firewall）を導入し、パス・トラバーサル攻撃を検知・防御するルールを設定することも有効です。また、ファイルアクセス権限を適切に設定し、不要なファイルへのアクセスを制限することで、攻撃の影響範囲を最小限に抑えることができます。アップデート後、LiteSpeed Cacheの設定を確認し、不正なファイルアクセスがないことを確認してください。