SUSE by Ingram

พบแฮ็กเกอร์ใช้ช่องโหว่ Zero-day ในปลั๊กอิน WordPress ‘ThemeREX’

Wordfence ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัย WordPress ได้ออกเตือนว่าพบแฮ็กเกอร์กำลังใช้งานช่องโหว่ Zero-day ของปลั๊กอิน WordPress ที่ชื่อ ThemeREX Addons ซึ่งปัจจุบันยังไม่มีแพตช์แก้ไขออกมา

ThemeREX Addons เป็น Plugin จากค่าย ThemeREX ซึ่งทำธีม WordPress ขาย โดย Addons ตัวนี้จะถูกติดตั้งมาให้อยู่แล้วแก่ลูกค้า โดยทาง Wordfence ประเมินว่าน่าจะมีผู้ใช้งานอยู่ราว 44,000 ไซต์

ไอเดียคือปลั๊กอินมีการเรียกใช้งาน WordPress REST-API แต่ไม่ได้ตรวจสอบคำสั่งที่เข้ามาว่ามาจากสิทธิ์ที่สมควรหรือไม่ ซึ่งนำไปสู่ช่องโหว่ Remote Code Execution ที่คนร้ายสามารถใช้เพื่อสร้างผู้ใช้ระดับแอดมินคนใหม่ได้ อย่างไรก็ตามปัจจุบันยังไม่มีแพตช์ออกมาทาง Wordfence จึงแนะให้ผู้ใช้ ThemeREX Addons เวอร์ชัน 1.6.50 ขึ้นไปลบปลั๊กอินออกไปก่อน

ที่มา :  https://www.zdnet.com/article/hackers-exploit-zero-day-in-wordpress-plugin-to-create-rogue-admin-accounts/

About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[Guest Post] Acer เปิดตัวโน้ตบุ๊ก Nitro และ Aspire รุ่นล่าสุด มาพร้อมกับโมบายล์โปรเซสเซอร์ AMD Ryzen 5000 Serie และกราฟิกการ์ด NVIDIA GeForce RTX 30

Nitro 5 การอัพเกรดครั้งสำคัญของเกมมิ่งโน้ตบุ๊กด้วยการเพิ่มโมบายล์โปรเซสเซอร์ AMD Ryzen ™ 9 5900 HX และ NVIDIA GeForce RTX™ 3080 Laptop …

ทำความรู้จักกับ Dynabook Portégé X30W-J: 2-in-1 Convertible Notebook ที่ทั้งเบาและแรง ตอบโจทย์ทั้งการทำงานและความบันเทิงในหลากประสบการณ์

ในการทำงานและการใช้ชีวิตส่วนตัวทุกวันนี้ หลายคนเองก็มีอุปกรณ์ที่ใช้กันอย่างหลากหลายทั้ง PC, Notebook, Tablet และ Smartphone สำหรับวาระและวัตถุประสงค์ที่แตกต่างกันไป แต่จะดีกว่าไหมถ้าเรามีเครื่องคอมพิวเตอร์เครื่องหนึ่งที่ทั้งแรง เบา และรองรับการทำงานได้หลากหลาย และทำให้เราไม่ต้องพกพาหลายอุปกรณ์ในแต่ละวัน?