300.000 trang web cài đặt WordPress có thể bị tấn công nếu không cập nhật
Ngày đăng: 26/07/2017
Mới đây, một lỗ hổng bảo mật đã được phát hiện trong plugin WP Statistics trên nền tảng CMS WordPress, theo thống kê có khoảng 300.000 trang web đang cài đặt plugin này.


Lỗ hổng bảo mật SQL Injection đã được phát hiện trong plugin nổi tiếng dành cho nền tảng WordPress. WP Statisctics được trang WordPress.org thống kê có hơn 300.000 trang web đã lựa chọn cài đặt để sử dụng.

Lỗ hổng này khi bị tấn công có thể giúp tin tặc đánh cắp cơ sở dữ liệu và có khả năng lây nhiễm mã độc từ xa cho trang web nạn nhân.

WP Statistics là một plugin rất nổi tiếng trên nền tảng WordPress, giúp người quản trị trang web có thể lấy được thông tin liên quan đến lượng người dùng đang truy cập và trang web đang xem.

Lỗ hổng này do nhóm bảo mật Sucuri (Hoa Kỳ) phát hiện và công bố, SQL Injection là một lỗ hổng thuộc dạng nhập liệu ở tầng web, giúp kẻ tấn công có thể nhập những câu lệnh SQL độc hại vào khung nhập liệu để tìm cấu trúc, vị trí của cơ sở dữ liệu, hoặc có thể đánh cắp cơ sở dữ liệu của trang web.

Khả năng hiển thị số người đang truy cập, vị trí địa lý và các thuộc tính của WP-Statistics.

Nhóm Sucuri phát hiện lỗ hổng SQL Injection tồn tại trong nhiều hàm của plugin này, gồm cả hàm wp_statistics_searchengine_query(). Hãng cho biết, lỗ hổng này là do thiếu sự sàng lọc trong dữ liệu do người dùng cung cấp. Một số thuộc tính của đoạn shortcode thuộc wpstatistics đang được bỏ qua như các tham số cho các hàm quan trọng và điều này không phải là vấn đề nếu các tham số này được cản lọc trước.

Chính vì các chức năng này không kiểm tra các đặc quyền bổ sung đã cho phép kẻ tấn công đăng ký tham viên của website sau đó thực thi các shortcode và chèn mã độc vào các thuộc tính.

Các nhà nghiên cứu tại Sucuri đã thông báo lỗ hổng cho đội phát triển WP Statistics và lỗ hổng đã được vá trong phiên bản mới nhất (phiên bản 12.0.8). Vì vậy, nếu ngươi dùng cài đặt plugin này và trang web cho phép đăng ký thì người dùng sẽ gặp rủi ro nếu vẫn ở phiên bản cũ, người dùng cần cập nhật phiên bản mới nhất để đảm bảo an toàn.
(Theo antoanthongtin.vn)

Tin liên quan

Trang 1 / 8 - 73 dòngFirstPrevNextLast v
Trang 1 / 8 - 73 dòngFirstPrevNextLast v

Các đơn vị đối tác

TRUNG TÂM PHÁT TRIỂN HẠ TẦNG CÔNG NGHỆ THÔNG TIN ĐÀ NẴNG

Giấy phép: Số 151/GP-TTĐT do Sở Thông tin và Truyền thông cấp ngày 15/4/2015.

Trưởng Ban biên tập: Nguyễn Thị Huyền Thu, Phó giám đốc Trung tâm Phát triển hạ tầng Công nghệ thông tin Đà Nẵng.

Trụ sở: Tòa nhà 02 Quang Trung, Phường Thạch Thang, Quận Hải Châu, Tp Đà Nẵng.

Điện thoại: 84.236.3888.666 Fax 84.236.3888.879 Email: phcth-iid@danang.gov.vn.