CDIC 2023

พบช่องโหว่ SQL Injection บน WordPress Plugin เสี่ยงข้อมูลถูกขโมย

Sucuri บริษัทที่ปรึกษาด้าน Web Security ชื่อดัง ออกมาเปิดเผยถึงช่องโหว่ SQL Injection บน NextGEN Gallery ซึ่งเป็น Plugin ของ WordPress ที่มียอดดาวน์โหลดมากกว่า 1,000,000 ครั้ง ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมยข้อมูลสำคัญของเว็บไซต์ออกจากฐานข้อมูลได้

ช่องโหว่ SQL Injection ที่ค้นพบบน NextGEN Gallery มี 2 จุด คือ

ช่องโหว่ที่เกิดจากการใช้ฟีเจอร์ NextGEN Basic TagCloud Gallery ซึ่งช่วยให้เจ้าของไซต์สามารถดูรูปภาพตาม Tag ได้ ซึ่งเมื่อคลิก Tag ที่ต้องการ จะทำให้ URL เปลี่ยนแปลงตาม ปัญหาคือ แฮ็คเกอร์สามารถแก้ไขพารามิเตอร์บน URL เพื่อแทรก SQL Query เข้าไปให้ Plugin ประมวลผล แล้วแอบดูหรือเปลี่ยนแปลงข้อมูลในฐานข้อมูลได้ ทั้งนี้ สาเหตุมาจากปัญหาพื้นฐานของเว็บแอพพลิเคชันทั่วไป (ทั้ง WordPress และแอพอื่นๆ ) คือ ขาดการกรองข้อมูลที่ใส่เข้าไปในพารามิเตอร์บน URL อย่างเหมาะสม

อีกช่องโหว่หนึ่งจะเกิดขึ้นในกรณีที่เจ้าของไซต์อนุญาตให้ผู้ใช้โพสต์ข้อความลงบน Blog ได้ ซึ่งแฮ็คเกอร์สามารถใส่โค้ดแปลกปลอมสำหรับ NextGEN Gallery เพื่อลอบส่งคำสั่ง SQL Query เข้าไปประมวลผลในฐานข้อมูลได้ ในกรณีที่แฮ็คเกอร์มีความเชี่ยวชาญด้าน SQL อาจทำให้สามารถขโมยข้อมูลในฐานข้อมูลทั้งหมด รวมไปถึงข้อมูลส่วนบุคคลของผู้ใช้ออกมาได้ทันที

Sucuri ให้คะแนนความเสี่ยงของช่องโหว่นี้ที่ 9 เต็ม 10 เนื่องจากสามารถเจาะช่องโหว่ได้ง่ายมาก ต่อให้เป็นแฮ็คเกอร์มือสมัครเล่นก็ตาม ข่าวดีคือ NextGEN Gallery ออกแพทช์เวอร์ชัน 2.1.79 เพื่ออุดช่องโหว่ SQL Injection นี้เป็นที่เรียบร้อย เพียงแต่ใช้คำพูดใน Change Log ว่า “Tag display adjustment” ซึ่งอาจไม่สื่อถึงความสำคัญของแพทช์ดังกล่าวมากนัก แต่แนะนำให้ผู้ที่ใช้ Plugin นี้อยู่รีบอัปเดตโดยเร็ว

ที่มา: https://www.bleepingcomputer.com/news/security/severe-sql-injection-flaw-discovered-in-wordpress-plugin-with-over-1-million-installs/


About techtalkthai

ทีมงาน TechTalkThai เป็นกลุ่มบุคคลที่ทำงานในสาย Enterprise IT ที่มีความเชี่ยวชาญทางด้าน Network, Security, Server, Storage, Operating System และ Virtualization มารวมตัวกันเพื่ออัพเดตข่าวสารทางด้าน Enterprise IT ให้แก่ชาว IT ในไทยโดยเฉพาะ

Check Also

Intel เผยชิปประมวลผล 14th กำลังจะมาในธันวาคมนี้

Intel ได้ให้ข้อมูลเกี่ยวกับชิปรุ่นถัดไปหรือ 14th ที่ใช้ชื่อโค้ดว่า ‘Meteor Lake’ โดยคาดว่าจะปล่อยออกมาราวเดือนธันวาคมนี้ เพื่อกรุยทางต้อนรับงาน CES ต้นปีถัดไป ครั้งนี้มีรายละเอียดเชิงลึกเกี่ยวกับสถาปัตยกรรมทั้งแนวคิดการออกแบบที่เป็น Chiplet และส่วนประกอบต่างๆ รวมถึงแนวคิดการทำงานของ E-core …

Linux Foundation เปิดตัว Unified Acceleration Foundation

Linux Foundation เปิดตัว Unified Acceleration Foundation สร้างมาตรฐานกลางสำหรับ Accelerator Programming