WP live chat support plugin ที่มี installs มากกว่า 50,000+ อีกครั้งพบช่องโหว่ร้ายแรง ระบุว่า CVE-2019-12498 ซึ่งอนุญาตให้ unauthorized user ใดๆ ขโมย chat history หรือ hijack current chat sessions เวอร์ชัน 8.0.32 และก่อนหน้าร่อนแรง อ่านรายละเอียด WP live chat support exploit ในบทความนี้
เพิ่ง 1 เดือนก่อน WP live chat support plugin โดนพบช่องโหว่ XSS ร้ายแรง Exploit นั้นทำให้ WordPress websites หลายร้อยร้อยโดน compromise ตามมา WordPress suspend WP live chat support plugin สำหรับ fresh installations ชั่วคราว
บทความเกี่ยวข้อง – Cross-Site Scripting in WordPress Live Chat Support Plugin
Technical Details: WP Live Chat Support Exploit
นักวิจัยเปิดเผยว่าช่องโหว่เกิดจาก distorted validation check ใน plugin ที่อนุญาตให้ unauthenticated user เข้าถึง REST API functionality และต่อมาสิทธิ์ของ authenticated user ดังนั้นเขาจึงสามารถ exfiltrate chat logs และ manipulate chat sessions ได้
register_rest_route ที่นี่คือ accept chat, end chat, send message ตามที่เห็นในภาพด้านล่าง
เนื่องจาก wplc_api_permission_check function ที่ flawed validation check คืนค่า "true" สำหรับ permission check ของ logged in user ทำให้ not logged in users ได้ access เข้าไป
WordPress website ของคุณโดนแฮ็ก? ทิ้งข้อความที่นี่หรือแชทกับเราตอนนี้ เราจะช่วยด้วยความยินดี?
Risks: WP Live Chat Support Exploit
ตามนักวิจัย ความเสี่ยงที่เว็บไซต์ของคุณเผชิญจากช่องโหว่ใน WP live chat support:
- Attacker อาจ Extract chat history ทั้งหมดสำหรับทุก chat sessions
- Hacker อาจ hijack active chat sessions และ manipulate ตามใจ
- Active chat sessions อาจถูกทำให้ end abruptly เป็นส่วนหนึ่งของ denial of service (DoS) attack
- Injected messages อาจถูก edit เพื่อปิดบังว่า injected messages มีอะไร
WordPress website ของคุณโดนแฮ็ก? ทิ้งข้อความที่นี่หรือแชทกับเราตอนนี้ เราจะช่วยด้วยความยินดี?
Conclusion: WP Live Chat Support Exploit
อัปเดตเป็นเวอร์ชันล่าสุด
หลัง security researchers รายงานช่องโหว่ให้ developers พวกเขา patch และปล่อย mended & updated version – 8.0.34 หากคุณยังอยู่บน version <=8.0.32 พิจารณาอัปเดตเป็น latest version คือ 8.0.34 เพื่อ mitigate risk
ได้ Complete Security Solution
การปกป้องเว็บไซต์ตลอด 24 ชั่วโมงดีกว่าการหามาตรการ retrieve เว็บไซต์จาก brutal hack Web Application Firewall เป็น continuous monitoring system ที่ monitor และปกป้องเว็บไซต์จาก attempted hack หรือ cyber attack ใดๆ Astra เสนอ intelligent firewall หนึ่งที่หยุด attacks อย่าง XSS, SQLi, bad bots, CSRF, & 100+ cyber attacks อื่นๆ มัน identify และ block malicious IPs เอง Astra Firewall เพิ่มความปลอดภัยเว็บไซต์ของคุณอย่างมาก
ลอง Astra demo ตอนนี้!
