Lỗ hổng SQLi nghiêm trọng trong plugin WordPress đe dọa hơn 200 nghìn trang web

Một lỗ hổng bảo mật nghiêm trọng đã được tiết lộ trong một plugin WordPress phổ biến có tên Ultimate Member, có hơn 200.000 lượt cài đặt đang hoạt động.

Lỗ hổng này có mã CVE-2024-1071, có điểm CVSS là 9,8/tối đa là 10. Nhà nghiên cứu bảo mật Christiaan Swiers đã được ghi nhận là người đã phát hiện và báo cáo lỗ hổng này.

Trong một lời khuyên được công bố vào tuần trước, công ty bảo mật WordPress Wordfence cho biết plugin này "dễ bị tấn công bởi SQL Insert thông qua tham số 'sắp xếp' trong các phiên bản 2.1.3 đến 2.8.2 do không đủ khả năng thoát khỏi tham số do người dùng cung cấp và thiếu sự chuẩn bị đầy đủ về truy vấn SQL hiện có."

Do đó, những kẻ tấn công không được xác thực có thể lợi dụng lỗ hổng để thêm các truy vấn SQL bổ sung vào các truy vấn hiện có và trích xuất dữ liệu nhạy cảm từ cơ sở dữ liệu.

Điều đáng lưu ý là sự cố này chỉ ảnh hưởng đến những người dùng đã chọn tùy chọn "Bật bảng tùy chỉnh cho usermeta" trong cài đặt plugin.

Sau khi tiết lộ có trách nhiệm vào ngày 30 tháng 1 năm 2024, các nhà phát triển plugin đã cung cấp bản sửa lỗi cho việc phát hành phiên bản 2.8.3 vào ngày 19 tháng 2.

Người dùng nên cập nhật plugin lên phiên bản mới nhất càng sớm càng tốt để giảm thiểu các mối đe dọa tiềm ẩn, đặc biệt là vì Wordfence đã chặn một cuộc tấn công cố gắng khai thác lỗ hổng trong 24 giờ qua.

Vào tháng 7 năm 2023, một thiếu sót khác trong cùng một plugin (CVE-2023-3460, điểm CVSS: 9,8) đã bị các tác nhân đe dọa tích cực khai thác để tạo ra những người dùng quản trị viên lừa đảo và giành quyền kiểm soát các trang web dễ bị tấn công.

Sự phát triển này diễn ra trong bối cảnh một chiến dịch mới gia tăng, lợi dụng các trang web WordPress bị xâm nhập để tiêm trực tiếp các công cụ rút tiền điện tử như Angel Drainer hoặc chuyển hướng khách truy cập trang web đến các trang web lừa đảo Web3 có chứa công cụ rút tiền.

Nhà nghiên cứu Denis Sinegubko của Sucuri cho biết: “Các cuộc tấn công này tận dụng các chiến thuật lừa đảo và tiêm độc hại để khai thác sự phụ thuộc của hệ sinh thái Web3 vào các tương tác ví trực tiếp, gây ra rủi ro đáng kể cho cả chủ sở hữu trang web và sự an toàn của tài sản người dùng”.

Nó cũng theo sau việc phát hiện ra một chương trình thoát nước như một dịch vụ (DaaS) mới có tên là CG (viết tắt của CryptoGrab) chạy một chương trình liên kết mạnh mẽ gồm 10.000 thành viên bao gồm những người nói tiếng Nga, tiếng Anh và tiếng Trung.

Hương – Theo TheHackerNews

​