พบว่าปลั๊กอินการบำรุงรักษา WP มีความเสี่ยงต่อ CSRF และ XSS ที่เก็บไว้ เมื่อวันที่ 15 พฤศจิกายน WordFence ได้รายงานช่องโหว่ของนักพัฒนาปลั๊กอินการบำรุงรักษา WP หลังจากนั้นผู้พัฒนาปลั๊กอิน (Florent Malliefaud) ได้แก้ไขช่องโหว่อย่างเร่งด่วนในเวลาเพียงวันเดียว
เวอร์ชัน 5.0.6 ไม่มีช่องโหว่ เราขอแนะนำให้คุณอัปเดตปลั๊กอินจากเวอร์ชันก่อนหน้าเป็นเวอร์ชันนี้
เกี่ยวกับปลั๊กอินการบำรุงรักษา WP
ตามชื่อของมัน ปลั๊กอินการบำรุงรักษา WP ช่วยให้คุณสามารถทำให้เว็บไซต์ของคุณอยู่ในโหมดการบำรุงรักษา นอกจากนี้ยังช่วยให้คุณสามารถปรับแต่งหน้าการบำรุงรักษาเว็บไซต์ของคุณได้อย่างกว้างขวาง
นี่คือลักษณะของปลั๊กอินการบำรุงรักษา WP ในที่เก็บ WordPress
อย่างที่คุณเห็น มีการติดตั้งปลั๊กอินนี้มากถึง 30,000+ รายการ คุณสมบัติของมันรวมถึงข้อความที่กำหนดเอง โลโก้ รูปภาพ CSS ฯลฯ ในหน้าการบำรุงรักษา คุณยังสามารถใส่นาฬิกาจับเวลาถอยหลังในหน้าบำรุงรักษาเว็บไซต์ของคุณได้อีกด้วย
รายละเอียดช่องโหว่
ตาม WordFence ช่องโหว่นี้ช่วยให้ผู้โจมตีวางเว็บไซต์ของคุณในโหมดบำรุงรักษาและใส่รหัสที่เป็นอันตรายในเว็บไซต์ของคุณ ฟีเจอร์การปรับแต่งส่วนใหญ่มีข้อบกพร่องในปลั๊กอิน การตั้งค่าการปรับแต่งจะไม่ตรวจสอบคีย์ nonce ของผู้ใช้ก่อนที่จะอัปเดตการตั้งค่า ซึ่งอาจนำไปสู่การโจมตี CSRF ที่ร้ายแรง
นอกจากนี้ ยังขาดการสุขาภิบาลรหัสที่เหมาะสมในช่องป้อนข้อมูลการตั้งค่า ซึ่งช่วยให้แฮกเกอร์สามารถใส่รหัสอันตรายในเว็บไซต์ของคุณได้
ข้อมูลทางเทคนิคเพิ่มเติมอยู่ในส่วนถัดไป
รายละเอียดทางเทคนิค
การบำรุงรักษา WP อำนวยความสะดวกให้กับคุณสมบัติการปรับแต่งจำนวนมาก ปรากฎว่ามีคุณสมบัติการปรับแต่งที่มากเกินไปซึ่งจำเป็นต้องมีการเฝ้าระวังที่ดีขึ้น ขาดการบำรุงรักษา WP ในสิ่งนี้ด้วยการป้องกัน nonce ที่จำกัดและสุขาภิบาลอินพุต/เอาท์พุตตามค่าต่างๆ พื้นที่ที่ถูกมองข้ามเหล่านี้ส่งผลให้เกิดการปลอมแปลงคำขอข้ามไซต์ (CSRF) จากนั้น CSRF นำไปสู่ช่องโหว่ Cross-Site Scripting (XSS) ในการบำรุงรักษา WP
ดูรหัสนี้:
ที่นี่ ฟังก์ชัน update_general AJAX ไม่ได้ตรวจสอบโทเค็น nonce ทำให้เสี่ยงต่อ CSRF นอกจากนี้ ฟังก์ชั่น update_option() &wpm_update_settings() ไม่มีการฆ่าเชื้ออินพุต การทำเช่นนี้อาจทำให้ผู้ใช้/ผู้โจมตีที่ไม่ได้รับอนุญาตฉีดสคริปต์ที่เป็นอันตรายเป็น XSS ที่เก็บไว้ ซึ่งเมื่อถูกเรียกอาจทำให้เกิดการเปลี่ยนเส้นทาง การขุด crypto การขโมยข้อมูล ฯลฯ บนไซต์ของคุณ
โดยทั่วไปแล้ว การตั้งค่าทั้งหมดในปลั๊กอินมีความเสี่ยงต่อ CSRF &XSS
หน้าต่างการตั้งค่าทั่วไปในการบำรุงรักษา WP มีช่องใส่ข้อมูลสองช่อง ชื่อเรื่องและช่องข้อความ
เนื่องจากการตรวจสอบและฆ่าเชื้อที่บกพร่อง โค้ดที่เป็นอันตรายจึงข้ามการแยกวิเคราะห์และได้รับการจัดเก็บเป็นช่องโหว่ XSS ที่เก็บไว้ ดูตัวอย่างต่อไปนี้ในช่อง "เปิดใช้งานจดหมายข่าว" ของการบำรุงรักษา WP:
รหัสผ่านการฆ่าเชื้อและจะถูกดำเนินการ
อัปเดตเพื่อลดความเสี่ยง
เพียงอัปเดตปลั๊กอินเป็นเวอร์ชันล่าสุด (5.0.6) เพื่อลดความเสี่ยง
นอกจากนี้ การบำรุงรักษาความปลอดภัยที่ไม่เหมาะสมยังคงเป็นปัญหาร้ายแรงในปลั๊กอิน WordPress จำนวนมาก วิธีที่ดีที่สุดที่คุณสามารถรับรองได้ว่าความปลอดภัยของเว็บไซต์ของคุณนั้นเป็นทางเลือกที่ดี ที่ซึ่งการบำรุงรักษา WP นั้นรวดเร็วในการแก้ไขช่องโหว่ มีปลั๊กอินไม่มากนักที่ทำเช่นนั้น
ดาวน์โหลดเฉพาะปลั๊กอินที่มีทีมสนับสนุนและพัฒนาเท่านั้น คุณสามารถทราบสิ่งนี้ได้โดยการตรวจสอบบทวิจารณ์ปลั๊กอินหรือค้นหาในฟอรัม
Astra ความปลอดภัยพร้อมความช่วยเหลือ
การมีปลั๊กอินที่ปลอดภัยช่วยได้ แต่คุณรู้หรือไม่ว่าอะไรช่วยได้ดีกว่าการใช้ความปลอดภัยของปลั๊กอิน มีระบบรักษาความปลอดภัยเฉพาะของคุณเอง
Astra security เป็นชุดรักษาความปลอดภัยที่สมบูรณ์แบบสำหรับเว็บไซต์ WordPress ของคุณ คุณสามารถนั่งพักผ่อนเมื่อ Astra ดูแลความปลอดภัยของเว็บไซต์ของคุณ มีคุณสมบัติมากมาย เช่น ไฟร์วอลล์เว็บแอปพลิเคชัน เครื่องสแกนมัลแวร์ การล้างมัลแวร์ การตรวจสอบความปลอดภัย และอื่นๆ สำหรับเว็บไซต์ของคุณ คุณสามารถตรวจสอบรีวิวของเราได้ที่นี่
ใช้การสาธิต Astra และรู้ด้วยตัวคุณเอง
ถามคำถามเพื่อความปลอดภัยของคุณในช่องแสดงความคิดเห็นด้านล่าง เราจะตอบกลับอย่างแน่นอน 🙂
หรือติดต่อผู้เชี่ยวชาญด้านความปลอดภัยในแชทได้ที่นี่
