Lỗ hổng nghiêm trọng được tìm thấy trong plugin WordPress phổ biến, "Ultimate Addons for Elementor" và "Ultimate Addons for Beaver Builder". Được phát triển bởi team Brainstorm Force, plugin Ultimate Addons cho phép chủ trang WordPress dùng widget/chức năng thêm cho page builder phổ biến như Elementor và Beaver Builder.
Ultimate Addons phát hành advisory trên trang web về bản vá lỗ hổng, yêu cầu user cập nhật plugin. Để làm rõ vấn đề, chúng tôi đào sâu chi tiết lỗ hổng cho phép hack.
Team Brainstorm Force đáng khen ngợi vì sự nhanh nhạy vá lỗ hổng trong chưa đầy 7 giờ!
Phiên bản đã vá:
- 1.20.1 cho Ultimate addons for Elementor
- 1.24.1 cho ultimate addons for Beaver builder
Nếu bạn cài plugin với phiên bản cũ hơn trên, hãy cập nhật ngay lập tức.
Plugin Ultimate Addons được cài đặt hoạt động trên hàng nghìn trang. Hơn nữa, given bản chất lỗ hổng, hacker có thể truy cập tuyệt đối bất kỳ trang WordPress nào cài plugin, nếu họ có email của user.
Chúng tôi敦促您立即更新。
Lỗ Hổng Dưới Kính Hiển Vi
Tính năng đăng nhập Google và Facebook dưới widget 'Login Form', chứa lỗ hổng broken authentication and session management. Lỗ hổng cho phép hacker đăng nhập không cần mật khẩu vào WordPress Admin của bất kỳ user, nếu biết email. Dùng phương pháp này, cũng có thể đăng nhập tài khoản administrator.
Kết hợp kỹ thuật thu thập thông tin khác, có thể tìm email admin và khai thác lỗ hổng.
Hướng Dẫn Liên Quan – WordPress Hack Removal
Khi có quyền admin, hacker nhận quyền & kiểm soát khai thác trang web nhiều cách. Nguy hiểm nhất: biến dạng, chuyển hướng, spam, đánh cắp dữ liệu (identity theft + financial data theft), popup độc hại, truy cập database, v.v.
Chi Tiết Kỹ Thuật Của Hack
Do validation yếu trong module đăng nhập Google và Facebook, hacker khai thác hàm AJAX wp-admin dùng bởi plugin Ultimate Addons.
Đối với trang dùng social login module, kẻ tấn công có thể sửa đổi/giả mạo email ID được gửi như response cho hàm AJAX, sau khi authorize thành công qua Google/Facebook. Plugin capture email user, và thực hiện đăng nhập mà không verify tính xác thực của dữ liệu từ Google/Facebook. Code verify AJAX call bằng cách kiểm tra nonce token do WordPress đặt (tương tự CSRF token),不幸的是这不足以确定Google和Facebook API是否返回相同的email ID。
Như thấy trong screenshot, POST data trực tiếp dùng để login user mà không validate. Khuyến nghị verify tính xác thực dữ liệu từ Google/Facebook OAuth bằng cách gọi API verification đến dịch vụ của họ.
Chi tiết: https://developers.google.com/identity/sign-in/web/backend-auth
Bạn Bị Hack? Nhận Giúp Ngay
Nếu đã bị hack, khôi phục nhanh với dọn dẹp mã độc ngay lập tức bởi Astra. Nếu đã là khách Astra, công nghệ virtual patching bảo vệ bạn khỏi lỗ hổng này.
Làm Sao Xác Nhận Tôi Bị Hack?
Bạn biết bị hack nếu thấy:
- User Admin mới tạo trong wp-admin
- Trang web chuyển hướng đến trang độc hại
- Email Spam/Phishing gửi từ server
- Popup độc hại khi visitor mở trang
- Visitor thấy trang cảnh báo đỏ bởi Google
Nếu thấy triệu chứng không liệt kê, tham khảo danh sách dấu hiệu hack hoàn chỉnh.
Bạn Có Thể Làm Gì?
Nếu bạn thường xuyên bảo trì trang WordPress, muốn tự sửa hack & bảo vệ không lặp lại, nên:
- Cập nhật plugin dễ bị tấn công, WordPress core, plugin khác
- Kiểm tra admin trang web xem có tài khoản admin mới không. Khi hacker có quyền admin, họ có thể tạo admin mới để giữ truy cập sau khi lỗ hổng vá.
- Đăng nhập server qua FTP/SFTP hoặc File Manager trong cPanel, kiểm tra file lạ ở root. File sau tìm thấy trong trang bị khai thác: tmp.zip, wp-xmlrpc.php, adminer.php
- Bật xác thực hai yếu tố (2FA) cho wp-admin
- Bật giới hạn IP trên wp-admin, chỉ IP whitelist truy cập panel.
Liên Quan: Hướng Dẫn Loại Bỏ Mã Độc WordPress Hoàn Chỉnh
Cách Cập Nhật Đúng
Cách Cập Nhật Ultimate Addons for Elementor?
Để cập nhật Ultimate Addons for Elementor (UAE), làm theo:
- Tải phiên bản mới từ đây.
- Xóa phiên bản cũ. Không lo mất dữ liệu.
- Upload file zip tải về như plugin mới trong WP-admin
- Cài đặt và kích hoạt.
Xong.
Cách Cập Nhật Ultimate Addons for Beaver Builder?
Để cập nhật Ultimate Addons for Beaver Builder (UABB), làm theo:
- Tải phiên bản mới từ đây.
- Xóa phiên bản cũ. Không lo mất dữ liệu.
- Upload file zip tải về như plugin mới trong WP-admin
- Cài đặt và kích hoạt.
Xong.
Bảo Mật Trang Web Với Astra
Phù! Bạn không bị hack. Đừng để bảo mật trang web may mắn. Không bảo mật chỉ tốn kém lâu dài. Đừng để hacker nắm số phận trang web, hãy nắm quyền kiểm soát.
Chọn giải pháp bảo mật uy tín và tận dụng bảo vệ đầy đủ.
Có câu hỏi? Comment dưới hoặc liên hệ chuyên gia bảo mật, chúng tôi sẵn sàng giúp 🙂