Ngày qua ngày, một lỗ hổng hoặc một cuộc tấn công vào CMS WordPress được đưa ra ánh sáng. Rõ ràng, đây không phải là kết thúc của nó. Thêm vào các lỗ hổng chưa từng có, một lỗ hổng kịch bản trên nhiều trang web khá nghiêm trọng khác được phát hiện trên plugin wp-live-chat-support của plugin WordPress. Plugin hỗ trợ trò chuyện trực tiếp XSS trong wp này có trong các phiên bản trước 8.0.27.
Plugin hỗ trợ trò chuyện trực tiếp WP-live có hơn 60.000 lượt cài đặt theo thư mục plugin chính thức của WordPress và được cập nhật chỉ 15 giờ trước.
Trạng thái Rủi ro
Mức độ nghiêm trọng của lỗ hổng có thể được ước tính từ thực tế là bất kỳ người dùng chưa được xác thực nào (thậm chí không có tài khoản) có thể khai thác lỗ hổng này từ xa bằng cách đưa các tập lệnh độc hại vào các trang web dễ bị tấn công.
Lỗ hổng này phát sinh do admin_init không được bảo vệ móc.
Có thể được gọi bằng cách truy cập /wp-admin/admin-post.php hoặc /wp-admin/admin-ajax.php bởi bất kỳ kẻ tấn công chưa được xác thực nào để tự ý cập nhật tùy chọn “wplc_custom_js ”.
Hơn nữa, nội dung của wplc_custom_js được tải ở bất kỳ trang nào mà cuộc trò chuyện trực tiếp xuất hiện, điều đó có nghĩa là javascript độc hại sẽ được tải trên các trang đó và thông thường tải javascript độc hại sẽ giúp những kẻ tấn công dễ dàng đạt được XSS.
Giảm thiểu rủi ro
Cập nhật lên phiên bản mới nhất
Giải pháp tốt nhất có thể cho việc này là cập nhật hỗ trợ wp-live chat lên phiên bản mới nhất, tức là phiên bản 8.0.27 trở đi. Sau khi lỗ hổng được báo cáo, các nhà phát triển đã mất gần nửa tháng để vá phiên bản dễ bị tấn công. Kể từ đó, plugin hỗ trợ trò chuyện trực tiếp WP đã được vá hai lần. Phiên bản hiện tại có sẵn để tải xuống là 8.0.29.
Bộ bảo mật WordPress
Có một nhân viên bảo vệ trên trang web của bạn luôn hữu ích. Astra WordPress Security Suite được thiết kế riêng cho WordPress và cung cấp khả năng bảo vệ hoàn toàn với tường lửa liên tục và toàn diện. Ngoài ra, Trình quét phần mềm độc hại theo yêu cầu của Astra còn quét và gắn cờ các tệp độc hại chỉ bằng một cú nhấp chuột. Hơn nữa, chỉ mất chưa đến 10 phút cho lần quét đầu tiên và thậm chí còn ít hơn cho các lần quét tiếp theo.
Nhận bản demo Astra ngay bây giờ!