CDIC 2023

พบช่องโหว่ใหม่บน WordPress เสี่ยงถูกแฮ็กโดยไม่ต้องพิสูจน์ตัวตน

Simon Scannel นักวิจัยด้านความมั่นคงปลอดภัยจาก RIPS Technologies GmbH ออกมาแจ้งเตือนถึงช่องโหว่ใหม่บนซอฟต์แวร์ CMS ยอดนิยมอย่าง WordPress ซึ่งช่วยให้แฮ็กเกอร์สามารถลอบรันคำสั่งแปลกปลอมและเข้าควบคุมไซต์ได้โดยไม่ต้องแม้แต่พิสูจน์ตัวตน แนะนำให้ผู้ดูแลระบบรีบอัปเดตแพตช์โดยเร็ว

ช่องโหว่ที่ค้นพบนี้เป็นช่องโหว่ Cross-site Request Forgery (CSRF) บนฟีเจอร์ Comment ของ WordPress ซึ่งเป็นส่วนประกอบหลักที่ถูกเปิดใช้งานโดย Default ซึ่งช่วยให้แฮ็กเกอร์สามารถโจมตีแบบ Remote Code Execution จากระยะไกลโดยไม่จำเป็นต้องพิสูจน์ตัวตนได้

Scannel ได้ให้ความเห็นว่า ช่องโหว่นี้มีสาเหตุมาจากการที่ WordPress ไม่มีการตรวจสอบ CSRF เมื่อผู้ใช้โพสต์ Comment ใหม่ลงไป ช่วยให้แฮ็กเกอร์สามารถโพสต์ข้อความในฐานะ Admin ของไซต์ได้ รวมไปถึงสามารถใส่แท็ก HTML หรือแม้แต่ JavaScript ลงไปใน Comment ได้ด้วย นอกจากนี้ Frontend ของ WordPress ยังไม่มีการป้องกัน X-Frame-Options Header เมื่อนำช่องโหว่ทั้งหมดมารวมกัน ทำให้แฮ็กเกอร์สามารถแอบยิง Stored XSS Payload ไปยังเว็บไซต์เป้าหมายโดยหลอกให้ผู้ดูแลระบบที่ล็อกอิน WordPress ค้างไว้อยู่แล้ว เข้าถึงเว็บไซต์ของตนที่เตรียม Exploit Code ไว้ได้ ผลลัพธ์คือแฮ็กเกอร์สามารถเข้าควบคุมไซต์ WordPress ได้ทั้งหมดจากระยะไกล

ช่องโหว่นี้ส่งผลกระทบบน WordPress 5.1.0 และก่อนหน้านั้น แนะนำให้ผู้ให้อัปเดตแพตช์เวอร์ชัน 5.1.1 โดยเร็ว

ที่มา: https://thehackernews.com/2019/03/hack-wordpress-websites.html


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

ขอเชิญร่วมงานสัมมนาออนไลน์ Elevating Security with Akamai พบกับโซลูชันด้านความมั่นคงปลอดภัยที่ล้ำสมัยจาก Akamai Technologies [อังคารที่ 19 ธันวาคม 23] เวลา14.00 น.

ในยุคที่ภัยคุกคามทางไซเบอร์กำลังพัฒนาไปอย่างรวดเร็วอย่างที่ไม่เคยเกิดขึ้นมาก่อน ธุรกิจต่างๆ ต้องการโซลูชันความปลอดภัยที่แข็งแกร่งและครอบคลุมเพื่อปกป้องสินทรัพย์ดิจิทัลของบริษัท ขอเชิญผู้สนใจทุกท่านเข้าร่วมงานสัมมนาออนไลน์สุดพิเศษนี้ โดยท่านจะได้พบกับเทคโนโลยีการรักษาความปลอดภัยที่ล้ำสมัยจาก Akamai Technologies โดยมุ่งเน้นไปที่ความปลอดภัยของ API การปกป้องฝั่งไคลเอ็นต์ และตัวป้องกันบัญชี

ขอเชิญผู้สนใจเข้าร่วม งาน VSM365 | Softde’but Ep.18  ในหัวข้อ ❝ ปกป้ององค์กรของคุณ จากการโจมตีทางไซเบอร์ขั้นสูง ด้วย Proofpoint ❞

Softde’but ขอเชิญผู้สนใจเข้าร่วม งาน VSM365 | Softde’but Ep.18 ในหัวข้อ ❝ ปกป้ององค์กรของคุณ จากการโจมตีทางไซเบอร์ขั้นสูง ด้วย Proofpoint ❞ โดยงานจะจัดขึ้นในวันศุกร์ที่ …