พบช่องโหว่ SQL Injection บน WordPress Plugin เสี่ยงข้อมูลถูกขโมย

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

ช่องโหว่ SQL Injection ที่ค้นพบบน NextGEN Gallery มี 2 จุด คือ

ช่องโหว่ที่เกิดจากการใช้ฟีเจอร์ NextGEN Basic TagCloud Gallery ซึ่งช่วยให้เจ้าของไซต์สามารถดูรูปภาพตาม Tag ได้ ซึ่งเมื่อคลิก Tag ที่ต้องการ จะทำให้ URL เปลี่ยนแปลงตาม ปัญหาคือ แฮ็คเกอร์สามารถแก้ไขพารามิเตอร์บน URL เพื่อแทรก SQL Query เข้าไปให้ Plugin ประมวลผล แล้วแอบดูหรือเปลี่ยนแปลงข้อมูลในฐานข้อมูลได้ ทั้งนี้ สาเหตุมาจากปัญหาพื้นฐานของเว็บแอพพลิเคชันทั่วไป (ทั้ง WordPress และแอพอื่นๆ ) คือ ขาดการกรองข้อมูลที่ใส่เข้าไปในพารามิเตอร์บน URL อย่างเหมาะสม

อีกช่องโหว่หนึ่งจะเกิดขึ้นในกรณีที่เจ้าของไซต์อนุญาตให้ผู้ใช้โพสต์ข้อความลงบน Blog ได้ ซึ่งแฮ็คเกอร์สามารถใส่โค้ดแปลกปลอมสำหรับ NextGEN Gallery เพื่อลอบส่งคำสั่ง SQL Query เข้าไปประมวลผลในฐานข้อมูลได้ ในกรณีที่แฮ็คเกอร์มีความเชี่ยวชาญด้าน SQL อาจทำให้สามารถขโมยข้อมูลในฐานข้อมูลทั้งหมด รวมไปถึงข้อมูลส่วนบุคคลของผู้ใช้ออกมาได้ทันที

Sucuri ให้คะแนนความเสี่ยงของช่องโหว่นี้ที่ 9 เต็ม 10 เนื่องจากสามารถเจาะช่องโหว่ได้ง่ายมาก ต่อให้เป็นแฮ็คเกอร์มือสมัครเล่นก็ตาม ข่าวดีคือ NextGEN Gallery ออกแพทช์เวอร์ชัน 2.1.79 เพื่ออุดช่องโหว่ SQL Injection นี้เป็นที่เรียบร้อย เพียงแต่ใช้คำพูดใน Change Log ว่า “Tag display adjustment” ซึ่งอาจไม่สื่อถึงความสำคัญของแพทช์ดังกล่าวมากนัก แต่แนะนำให้ผู้ที่ใช้ Plugin นี้อยู่รีบอัปเดตโดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/severe-sql-injection-flaw-discovered-in-wordpress-plugin-with-over-1-million-installs/