WordPress 5.8.3 vá một số lỗ hổng bảo mật Injection

Hai trong số các lỗ hổng này thuộc lỗ hổng cấy SQL trong đó một lỗi ảnh hưởng tới WP_Meta_Query (do Ben Bidner thuộc nhóm bảo mật Word Press phát hiện) và một lỗ hổng ảnh hưởng đến WP_Query (do ngocnb và khuyenn cua GiaoHangTietKiem JSC phát hiện).

Nhà nghiên cứu Simon Scannell của SonarSource đã báo cáo sự cố chèn đối tượng ảnh gây hưởng đến một số cài đặt multisite (một tính năng WordPress cho phép những người dùng tạo ra một mạng lưới các trang web trên một cài đặt WordPress đơn) cũng như lỗ hổng XSS (stored cross-site scripting - dạng tấn công mà hacker chèn trực tiếp các mã độc vào cơ sở dữ liệu của website). Ngoài ra, lỗ hổng XSS cũng được nhà nghiên cứu Karim El Ouerghemmi xác định.

Các lỗ hổng này ảnh hưởng đến các phiên bản WordPress từ 3.7 đến 5.8.

Với các trang web hỗ trợ cập nhật tự động có thể đã được cập nhật. Những với người dùng WordPress khác thì được khuyến nghị cập nhật thủ công từ bảng điều khiển Dashboard của họ.

Những trang web WordPress là mục tiêu mà các tác nhân độc hại nhắm tới, tuy nhiên trong hầu hết các trường hợp, chủ yếu chúng nhắm đến các themes (được các nhà thiết kế gọi là giao diện) và các ứng dụng mở rộng (plugin) được sử dụng rộng rãi có chứa lỗ hổng bảo mật.

Vào tháng 12/2021, nhóm tình báo về mối đe dọa của công ty bảo mật WordPress Defiant cảnh báo rằng họ đã phát hiện ra một chiến dịch lớn, trong đó 1,6 triệu trang web WordPress đã trở thành mục tiêu của 13,7 triệu nỗ lực tấn công đến từ 16.000 địa chỉ IP, tất cả chỉ trong khoảng thời gian 36 giờ. Mục tiêu của những kẻ tấn công là chiếm quyền kiểm soát các trang web có chứa lỗ hổng.

Mặc dù trong một số trường hợp, những kẻ tấn công nhắm mục tiêu vào các lỗ hổng zero-day, nhưng trong trường hợp này, chúng cố gắng khai thác những lỗ hổng đã biết ảnh hưởng đến 4 plugin, bao gồm các lỗ hổng được vá cách đây vài tháng và những lỗ hổng đã được xác định chỉ vài ngày trước khi các cuộc tấn công bắt đầu.

Mới đây, một sự cố lớn khác liên quan đến WordPress được đưa ra ánh sáng liên quan đến công ty đăng ký tên miền và lưu trữ web khổng lồ GoDaddy đã tiết lộ một vi phạm dữ liệu ảnh hưởng đến 1,2 triệu người dùng Managed WordPress hồi tháng 11/2021./.