Lỗ hổng SQLi nghiêm trọng trong plugin WordPress đe dọa hơn 200 nghìn trang web

www.tuoitre.vn -   28/02/2024 08:00:00 114

Một lỗ hổng bảo mật nghiêm trọng đã được tiết lộ trong một plugin WordPress phổ biến có tên Ultimate Member, có hơn 200.000 lượt cài đặt đang hoạt động.

Lỗ hổng SQLi nghiêm trọng trong plugin WordPress đe dọa hơn 200 nghìn trang web

Lỗ hổng này có mã CVE-2024-1071, có điểm CVSS là 9,8/tối đa là 10. Nhà nghiên cứu bảo mật Christiaan Swiers đã được ghi nhận là người đã phát hiện và báo cáo lỗ hổng này.

Trong một lời khuyên được công bố vào tuần trước, công ty bảo mật WordPress Wordfence cho biết plugin này "dễ bị tấn công bởi SQL Insert thông qua tham số 'sắp xếp' trong các phiên bản 2.1.3 đến 2.8.2 do không đủ khả năng thoát khỏi tham số do người dùng cung cấp và thiếu sự chuẩn bị đầy đủ về truy vấn SQL hiện có."

Do đó, những kẻ tấn công không được xác thực có thể lợi dụng lỗ hổng để thêm các truy vấn SQL bổ sung vào các truy vấn hiện có và trích xuất dữ liệu nhạy cảm từ cơ sở dữ liệu.

Điều đáng lưu ý là sự cố này chỉ ảnh hưởng đến những người dùng đã chọn tùy chọn "Bật bảng tùy chỉnh cho usermeta" trong cài đặt plugin.

Sau khi tiết lộ có trách nhiệm vào ngày 30 tháng 1 năm 2024, các nhà phát triển plugin đã cung cấp bản sửa lỗi cho việc phát hành phiên bản 2.8.3 vào ngày 19 tháng 2.

Người dùng nên cập nhật plugin lên phiên bản mới nhất càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn, đặc biệt là vì Wordfence đã chặn một cuộc tấn công cố gắng khai thác lỗ hổng trong 24 giờ qua.

Vào tháng 7 năm 2023, một thiếu sót khác trong cùng một plugin (CVE-2023-3460, điểm CVSS: 9,8) đã bị các tác nhân đe dọa tích cực khai thác để tạo ra những người dùng quản trị viên lừa đảo và giành quyền kiểm soát các trang web dễ bị tấn công.

Sự phát triển này diễn ra trong bối cảnh một chiến dịch mới gia tăng, lợi dụng các trang web WordPress bị xâm nhập để tiêm trực tiếp các công cụ rút tiền điện tử như Angel Drainer hoặc chuyển hướng khách truy cập trang web đến các trang web lừa đảo Web3 có chứa công cụ rút tiền.

Nhà nghiên cứu Denis Sinegubko của Sucuri cho biết: “Các cuộc tấn công này tận dụng các chiến thuật lừa đảo và tiêm độc hại để khai thác sự phụ thuộc của hệ sinh thái Web3 vào các tương tác ví trực tiếp, gây ra rủi ro đáng kể cho cả chủ sở hữu trang web và sự an toàn của tài sản người dùng”.

Nó cũng theo sau việc phát hiện ra một chương trình thoát nước như một dịch vụ (DaaS) mới có tên là CG (viết tắt của CryptoGrab) chạy một chương trình liên kết mạnh mẽ gồm 10.000 thành viên bao gồm những người nói tiếng Nga, tiếng Anh và tiếng Trung.

Hương – Theo TheHackerNews

TIN CÙNG CHUYÊN MỤC

Nguy cơ mất tiền từ Phishing - giả mạo đ...

22/04/2024 08:00:00 15
Giả mạo để lừa đảo (Phishing) là một chiêu thức không mới nhưng hiệu quả trong việc thu hút nạn nhân...

Tài khoản Microsoft 365 và Gmail đối mặt...

02/04/2024 12:00:00 491
Mặc dù xác thực hai yếu tố (2FA) được xem là phương pháp bảo mật an toàn nhưng bộ công cụ lừa đảo mớ...

Nếu vẫn dùng Windows 10 và muốn cập nhật...

01/04/2024 12:00:00 91
Không phải người dùng nào cũng muốn hoặc có đủ điều kiện để nâng cấp lên Windows 11 hay mua PC mới, ...

Năm công nghệ của Kaspersky để bảo vệ tà...

29/03/2024 08:00:00 486
Tài chính kỹ thuật số của chúng ta dễ bị tấn công bởi tội phạm kỹ thuật số. Hãy cùng xem xét cách cá...

Những ứng dụng Android độc hại núp bóng ...

29/03/2024 12:00:00 478
Nhiều ứng dụng trong số này tuyên bố cung cấp dịch vụ VPN (mạng riêng ảo) miễn phí nên đã có hàng tr...

Giải pháp bảo mật của Kaspersky giành đư...

28/03/2024 08:00:00 57
Vào năm 2023, các sản phẩm và giải pháp của Kaspersky đã tham gia chính xác 100 nghiên cứu độc lập —...
Xem thêm

LIÊN HỆ

Thông tin liên hệ