พบช่องโหว่ SQL Injection บน WordPress Plugin เสี่ยงข้อมูลถูกขโมย

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

ช่องโหว่ SQL Injection ที่ค้นพบบน NextGEN Gallery มี 2 จุด คือ

ช่องโหว่ที่เกิดจากการใช้ฟีเจอร์ NextGEN Basic TagCloud Gallery ซึ่งช่วยให้เจ้าของไซต์สามารถดูรูปภาพตาม Tag ได้ ซึ่งเมื่อคลิก Tag ที่ต้องการ จะทำให้ URL เปลี่ยนแปลงตาม ปัญหาคือ แฮ็คเกอร์สามารถแก้ไขพารามิเตอร์บน URL เพื่อแทรก SQL Query เข้าไปให้ Plugin ประมวลผล แล้วแอบดูหรือเปลี่ยนแปลงข้อมูลในฐานข้อมูลได้ ทั้งนี้ สาเหตุมาจากปัญหาพื้นฐานของเว็บแอพพลิเคชันทั่วไป (ทั้ง WordPress และแอพอื่นๆ ) คือ ขาดการกรองข้อมูลที่ใส่เข้าไปในพารามิเตอร์บน URL อย่างเหมาะสม

อีกช่องโหว่หนึ่งจะเกิดขึ้นในกรณีที่เจ้าของไซต์อนุญาตให้ผู้ใช้โพสต์ข้อความลงบน Blog ได้ ซึ่งแฮ็คเกอร์สามารถใส่โค้ดแปลกปลอมสำหรับ NextGEN Gallery เพื่อลอบส่งคำสั่ง SQL Query เข้าไปประมวลผลในฐานข้อมูลได้ ในกรณีที่แฮ็คเกอร์มีความเชี่ยวชาญด้าน SQL อาจทำให้สามารถขโมยข้อมูลในฐานข้อมูลทั้งหมด รวมไปถึงข้อมูลส่วนบุคคลของผู้ใช้ออกมาได้ทันที

Sucuri ให้คะแนนความเสี่ยงของช่องโหว่นี้ที่ 9 เต็ม 10 เนื่องจากสามารถเจาะช่องโหว่ได้ง่ายมาก ต่อให้เป็นแฮ็คเกอร์มือสมัครเล่นก็ตาม ข่าวดีคือ NextGEN Gallery ออกแพทช์เวอร์ชัน 2.1.79 เพื่ออุดช่องโหว่ SQL Injection นี้เป็นที่เรียบร้อย เพียงแต่ใช้คำพูดใน Change Log ว่า “Tag display adjustment” ซึ่งอาจไม่สื่อถึงความสำคัญของแพทช์ดังกล่าวมากนัก แต่แนะนำให้ผู้ที่ใช้ Plugin นี้อยู่รีบอัปเดตโดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/severe-sql-injection-flaw-discovered-in-wordpress-plugin-with-over-1-million-installs/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

[Black Hat Asia 2023] ทำลายห่วงโซ่: มุมมองของคนวงในเกี่ยวกับช่องโหว่ของห่วงโซ่อุปทานซอฟต์แวร์

ยินดีต้อนรับสู่มุมมองของคนวงในเกี่ยวกับช่องโหว่ของห่วงโซ่อุปทานซอฟต์แวร์ หัวข้อนี้ถูกนำเสนอโดยนักวิจัยด้านความปลอดภัยชื่อ Yakir Kadkoda และ Ilay Goldman จาก Aqua Security ซึ่งมีประสบการณ์มากมายในงานด้าน Red Team พวกเขาให้ข้อมูลเชิงลึกอันมีค่าเกี่ยวกับช่องโหว่ที่แฝงตัวอยู่ในช่วงการพัฒนาซอฟต์แวร์ ที่เผยถึงความเสี่ยงที่องค์กรต้องเผชิญในการรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์

[Black Hat Asia 2023] สรุป Keynote วันที่ 1 เรื่อง “เตรียมตัวสำหรับการเดินทางอันยาวนานเพื่อความปลอดภัยของข้อมูล”

ข้อมูลถือเป็นปัจจัยที่ 5 ของการผลิต และความปลอดภัยของข้อมูล (Data Security) ก็ได้รับการจัดอันดับให้มีความสำคัญสูงสุดโดยรัฐบาลทั่วโลก ในประเทศจีน กฎหมายที่เกี่ยวข้องกับความปลอดภัยข้อมูล เช่น “กฎหมายความปลอดภัยของข้อมูล” และ “กฎหมายคุ้มครองข้อมูลส่วนบุคคล” ได้รับการประกาศใช้และมีผลบังคับใช้ในปี 2565 …