แม้จะมีข้อบกพร่องที่สำคัญสองประการในปลั๊กอิน WordPress ยอดนิยมที่ได้รับการแก้ไขเมื่อสัปดาห์ที่แล้ว แต่เว็บมาสเตอร์หลายแสนคนยังไม่ได้ใช้การอัปเดตนี้ ซึ่งทำให้ไซต์ของพวกเขาถูกโจมตี
ปลั๊กอิน All In One WordPress SEO มีความเสี่ยงต่อช่องโหว่สองช่องโหว่: CVE-2021-25036 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ที่ตรวจสอบสิทธิ์ที่สำคัญ และ CVE-2021-25037 ซึ่งเป็นจุดบกพร่องในการฉีด SQL ที่มีการตรวจสอบสิทธิ์ซึ่งมีความรุนแรงสูง
โดยรวมแล้ว ไซต์สามล้านแห่งมีความเสี่ยงต่อช่องโหว่นี้ ในช่วงสองสัปดาห์ที่ผ่านมานับตั้งแต่นักพัฒนาปลั๊กอินเปิดตัวแพตช์นี้ มีการอัปเดตปลั๊กอินมากกว่า 820.000 ล้านรายการ ทำให้ยังคงมีช่องโหว่จำนวน XNUMX รายการ
อัปเดตปลั๊กอินอย่างรวดเร็ว
แม้ว่าช่องโหว่ดังกล่าวจะกำหนดให้ผู้โจมตีต้องตรวจสอบสิทธิ์กับ WordPress แต่พวกเขาต้องการเพียงการอนุญาตระดับต่ำเท่านั้น เช่น ผู้สมัครสมาชิก เพื่อทำงาน โดยทั่วไปแล้ว สมาชิกสามารถโพสต์ความคิดเห็นและแก้ไขโปรไฟล์ของตนเองได้เท่านั้น แต่ด้วย CVE-2021-25036 พวกเขาสามารถยกระดับสิทธิ์ของตนและรันโค้ดจากระยะไกลบนไซต์ที่มีช่องโหว่ได้
นักวิจัยด้านความปลอดภัยอัตโนมัติ Marc Montpas ซึ่งค้นพบข้อบกพร่องเป็นคนแรกกล่าวว่าการใช้ข้อบกพร่องบนไซต์ที่มีช่องโหว่นั้นเป็นเรื่องง่ายเพราะผู้โจมตีต้องทำคือเปลี่ยน "อักขระตัวเดียวให้เป็นตัวพิมพ์ใหญ่" เพื่อข้ามการตรวจสอบความปลอดภัยทั้งหมด
“สิ่งนี้น่ากังวลอย่างยิ่งเนื่องจากจุดสิ้นสุดของปลั๊กอินบางตัวค่อนข้างละเอียดอ่อน ตัวอย่างเช่น จุดปลาย aioseo/v1/htaccess สามารถเขียน .htaccess ของไซต์ใหม่ด้วยเนื้อหาที่กำหนดเองได้” เขากล่าว เขาประกาศ. “ผู้โจมตีอาจใช้ฟังก์ชันนี้ในทางที่ผิดเพื่อซ่อน .htaccess backdoor และรันโค้ดที่เป็นอันตรายบนเซิร์ฟเวอร์”
เว็บมาสเตอร์ที่ใช้ปลั๊กอิน WordPress All in One SEO ควรอัปเดตเป็นเวอร์ชัน 4.1.5.3
ข้อบกพร่องร้ายแรงที่มาพร้อมกับปลั๊กอิน WordPress เป็นเรื่องปกติ ตัวอย่างเช่น เมื่อเดือนที่แล้ว ช่องโหว่ในปลั๊กอินเทมเพลตเริ่มต้น - เทมเพลต Elementor, Gutenberg & Beaver Builder ทำให้ผู้ใช้ระดับผู้สนับสนุนสามารถเขียนทับหน้าใดๆ บนไซต์ได้อย่างสมบูรณ์ และฝัง JavaScript ที่เป็นอันตรายได้ตามต้องการ ในกรณีนี้ มีเว็บไซต์มากกว่าหนึ่งล้านแห่งถูกคุกคาม
ในเดือนเดียวกันนั้นเอง ปลั๊กอิน "Email Preview for WooCommerce" ก็พบว่ามีข้อบกพร่องร้ายแรง ซึ่งอาจทำให้ผู้โจมตีสามารถควบคุมไซต์ได้ ปลั๊กอินนี้ถูกใช้โดยไซต์มากกว่า 20.000 แห่ง
- คุณยังสามารถตรวจสอบรายชื่อไฟร์วอลล์ที่ดีที่สุดในขณะนี้
โดย: คอมพิวเตอร์บี๊บ