ຊ່ອງໂຫວ່ໃນ plugins WordPress ທີ່ມີຫຼາຍກວ່າຫນຶ່ງລ້ານການຕິດຕັ້ງ

ນັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພຈາກ Wordfence ແລະ WebARX ໄດ້ກໍານົດຊ່ອງໂຫວ່ທີ່ເປັນອັນຕະລາຍຫຼາຍໃນຫ້າ plugins ສໍາລັບລະບົບການຄຸ້ມຄອງເນື້ອຫາເວັບ WordPress, ຈໍານວນທັງຫມົດມີຫຼາຍກວ່າຫນຶ່ງລ້ານການຕິດຕັ້ງ.

• ຄວາມອ່ອນແອ ໃນ plugin ໄດ້ ການຍິນຍອມເຫັນດີຂອງ Cookie GDPR, ເຊິ່ງມີຫຼາຍກວ່າ 700 ພັນການຕິດຕັ້ງ. ບັນຫາໄດ້ຖືກຈັດອັນດັບຄວາມຮຸນແຮງໃນລະດັບ 9 ອອກຈາກ 10 (CVSS). ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ມີຄວາມຖືກຕ້ອງຂອງສະມາຊິກສາມາດລຶບຫຼືຊ່ອນ (ປ່ຽນສະຖານະເປັນສະບັບຮ່າງທີ່ຍັງບໍ່ໄດ້ເຜີຍແຜ່) ຫນ້າໃດໆຂອງເວັບໄຊທ໌, ເຊັ່ນດຽວກັນກັບການທົດແທນເນື້ອຫາຂອງຕົນເອງຢູ່ໃນຫນ້າເວັບຕ່າງໆ.
  ຄວາມອ່ອນແອ ລົບລ້າງ ໃນການປ່ອຍ 1.8.3.

• ຄວາມອ່ອນແອ ໃນ plugin ໄດ້ ThemeGrill Demo ນໍາເຂົ້າ, ຈໍານວນຫຼາຍກວ່າ 200 ພັນການຕິດຕັ້ງ (ການໂຈມຕີທີ່ແທ້ຈິງໃນສະຖານທີ່ໄດ້ຖືກບັນທຶກໄວ້, ຫຼັງຈາກການເລີ່ມຕົ້ນຂອງທີ່ແລະຮູບລັກສະນະຂອງຂໍ້ມູນກ່ຽວກັບຄວາມອ່ອນແອ, ຈໍານວນການຕິດຕັ້ງໄດ້ຫຼຸດລົງແລ້ວເຖິງ 100 ພັນ). ຊ່ອງໂຫວ່ດັ່ງກ່າວເຮັດໃຫ້ຜູ້ເຂົ້າຊົມທີ່ບໍ່ໄດ້ຜ່ານການຮັບຮອງສາມາດລຶບລ້າງເນື້ອໃນຂອງຖານຂໍ້ມູນຂອງເວັບໄຊດັ່ງກ່າວ ແລະຕັ້ງຖານຂໍ້ມູນຄືນໃໝ່ໃຫ້ເປັນສະຖານະການຕິດຕັ້ງໃໝ່. ຖ້າມີຜູ້ໃຊ້ຊື່ admin ໃນຖານຂໍ້ມູນ, ຊ່ອງໂຫວ່ຍັງຊ່ວຍໃຫ້ທ່ານສາມາດຄວບຄຸມເວັບໄຊທ໌ໄດ້ຢ່າງເຕັມທີ່. ຊ່ອງໂຫວ່ແມ່ນເກີດມາຈາກຄວາມລົ້ມເຫລວໃນການກວດສອບຜູ້ໃຊ້ທີ່ພະຍາຍາມອອກຄໍາສັ່ງທີ່ມີສິດທິພິເສດຜ່ານ script /wp-admin/admin-ajax.php. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສະບັບ 1.6.2.
• ຄວາມອ່ອນແອ ໃນ plugin ໄດ້ ThemeREX Addons, ນໍາໃຊ້ໃນ 44 ພັນສະຖານທີ່. ບັນຫາໄດ້ຖືກມອບຫມາຍໃຫ້ລະດັບຄວາມຮ້າຍແຮງຂອງ 9.8 ອອກຈາກ 10. ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບການກວດສອບລະຫັດ PHP ຂອງເຂົາເຈົ້າຢູ່ໃນເຄື່ອງແມ່ຂ່າຍແລະປ່ຽນແທນບັນຊີຜູ້ເບິ່ງແຍງເວັບໄຊທ໌ໂດຍການສົ່ງຄໍາຮ້ອງຂໍພິເສດຜ່ານ REST-API.
  ກໍລະນີຂອງການຂູດຮີດຊ່ອງໂຫວ່ໄດ້ຖືກບັນທຶກໄວ້ໃນເຄືອຂ່າຍແລ້ວ, ແຕ່ການປັບປຸງທີ່ມີການແກ້ໄຂແມ່ນຍັງບໍ່ທັນມີ. ຜູ້ໃຊ້ໄດ້ຖືກແນະນໍາໃຫ້ເອົາ plugin ນີ້ອອກໄວເທົ່າທີ່ເປັນໄປໄດ້.

• ຄວາມອ່ອນແອ ໃນ plugin ໄດ້ wpCentral, ຈໍານວນ 60 ພັນການຕິດຕັ້ງ. ບັນຫາດັ່ງກ່າວໄດ້ຖືກມອບຫມາຍໃຫ້ຢູ່ໃນລະດັບຄວາມຮ້າຍແຮງຂອງ 8.8 ອອກຈາກ 10. ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ຜູ້ເຂົ້າຊົມທີ່ມີຄວາມຖືກຕ້ອງ, ລວມທັງຜູ້ທີ່ມີສິດທິຂອງສະມາຊິກ, ຂະຫຍາຍສິດທິພິເສດຂອງພວກເຂົາໃຫ້ກັບຜູ້ເບິ່ງແຍງເວັບໄຊທ໌ຫຼືເຂົ້າເຖິງກະດານຄວບຄຸມ wpCentral. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສະບັບ 1.5.1.
• ຄວາມອ່ອນແອ ໃນ plugin ໄດ້ ຕົວສ້າງໂປຣໄຟລ໌, ມີປະມານ 65 ພັນການຕິດຕັ້ງ. ບັນຫາໄດ້ຖືກມອບຫມາຍລະດັບຄວາມຮ້າຍແຮງຂອງ 10 ອອກຈາກ 10. ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທີ່ບໍ່ໄດ້ຮັບຄວາມຖືກຕ້ອງສ້າງບັນຊີທີ່ມີສິດທິຂອງຜູ້ເບິ່ງແຍງລະບົບ ( plugin ອະນຸຍາດໃຫ້ທ່ານສ້າງແບບຟອມການລົງທະບຽນແລະຜູ້ໃຊ້ສາມາດຜ່ານພາກສະຫນາມເພີ່ມເຕີມທີ່ມີພາລະບົດບາດຂອງຜູ້ໃຊ້, ການມອບຫມາຍ. ມັນ​ເປັນ​ລະ​ດັບ​ຜູ້​ບໍ​ລິ​ຫານ​)​. ບັນຫາໄດ້ຖືກແກ້ໄຂໃນສະບັບ 3.1.1.

ນອກຈາກນັ້ນ, ມັນສາມາດສັງເກດເຫັນໄດ້ ການລະບຸຕົວຕົນ ເຄືອຂ່າຍສໍາລັບການແຈກຢາຍ Trojan plugins ແລະຫົວຂໍ້ WordPress. ຜູ້ໂຈມຕີໄດ້ວາງສຳເນົາປລັກອິນທີ່ເສຍເງິນໄວ້ໃນເວັບໄຊໄດເລກະທໍລີທີ່ປອມແປງ, ໂດຍໄດ້ລວມເອົາ backdoor ເຂົ້າໃນພວກມັນເພື່ອເຂົ້າເຖິງໄລຍະໄກ ແລະຄຳສັ່ງດາວໂຫຼດຈາກເຊີບເວີຄວບຄຸມ. ເມື່ອເປີດໃຊ້ແລ້ວ, ລະຫັດທີ່ເປັນອັນຕະລາຍໄດ້ຖືກນໍາໃຊ້ເພື່ອໃສ່ການໂຄສະນາທີ່ເປັນອັນຕະລາຍຫຼືຫຼອກລວງ (ຕົວຢ່າງເຊັ່ນການເຕືອນໄພກ່ຽວກັບຄວາມຕ້ອງການທີ່ຈະຕິດຕັ້ງ antivirus ຫຼືປັບປຸງຕົວທ່ອງເວັບຂອງທ່ານ), ເຊັ່ນດຽວກັນກັບການເພີ່ມປະສິດທິພາບຂອງເຄື່ອງຈັກຊອກຫາເພື່ອສົ່ງເສີມເວັບໄຊທ໌ທີ່ແຈກຢາຍ plugins ທີ່ເປັນອັນຕະລາຍ. ອີງຕາມຂໍ້ມູນເບື້ອງຕົ້ນ, ຫຼາຍກວ່າ 20 ພັນເວັບໄຊທ໌ໄດ້ຖືກຫຼຸດຫນ້ອຍລົງໂດຍໃຊ້ plugins ເຫຼົ່ານີ້. ໃນບັນດາຜູ້ເຄາະຮ້າຍແມ່ນເວທີການຂຸດຄົ້ນບໍ່ແຮ່ທີ່ມີການແບ່ງຂັ້ນຄຸ້ມຄອງ, ບໍລິສັດການຄ້າ, ທະນາຄານ, ບໍລິສັດຂະຫນາດໃຫຍ່ຈໍານວນຫນຶ່ງ, ຜູ້ພັດທະນາການແກ້ໄຂສໍາລັບການຈ່າຍເງິນໂດຍໃຊ້ບັດເຄຣດິດ, ບໍລິສັດ IT, ແລະອື່ນໆ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru