Lỗ hổng đọc file trên Plugin Smart Slider 3 đe dọa 500.000 website WordPress

[WhiteHat Team]

Một lỗ hổng nghiêm trọng vừa được phát hiện trong plugin Smart Slider 3, đang chạy trên hơn 800.000 website WordPress. Lỗ hổng này cho phép người dùng quyền subscriber truy cập trái phép vào bất kỳ file nào trên máy chủ, bao gồm các file nhạy cảm như wp-config.php - nơi chứa thông tin cơ sở dữ liệu, khóa bảo mật và dữ liệu salt, làm tăng nguy cơ rò rỉ dữ liệu người dùng và chiếm quyền kiểm soát hoàn toàn website.

​

Smart Slider 3 là plugin phổ biến để tạo và quản lý slider hình ảnh và carousel nội dung. Plugin nổi bật với giao diện kéo-thả dễ dùng và kho mẫu đa dạng, nhưng lỗ hổng này đang đặt hàng trăm nghìn website vào nguy cơ cao, đặc biệt những website có thành viên hoặc tính năng subscription.

Lỗ hổng, theo dõi với mã CVE-2026-3098, được phát hiện bởi nhà nghiên cứu Dmitrii Ignatyev và ảnh hưởng đến tất cả các phiên bản Smart Slider 3 đến 3.5.1.33. Mức độ nghiêm trọng được đánh giá trung bình vì cần xác thực trước khi khai thác, nhưng vẫn đủ để tác động đến nhiều website phổ biến có tính năng membership.

Nguyên nhân gốc rễ nằm ở việc plugin thiếu kiểm tra quyền hạn trong các tác vụ xuất dữ liệu qua AJAX. Cụ thể, hàm actionExportAll không kiểm tra loại file hay nguồn file khi thực hiện lệnh, cho phép kẻ tấn công lợi dụng sơ hở này để đóng gói các tệp tin hệ thống quan trọng vào bản xuất dữ liệu và tải về máy một cách hợp pháp.

Chuyên gia István Márton từ công ty bảo mật Defiant cảnh báo rằng, thay vì chỉ xuất được ảnh hay video như thiết kế, hàm này cho phép đọc cả các file .php. Mục tiêu hàng đầu của tin tặc chính là file wp-config.php. Nếu chiếm được file này, kẻ tấn công sẽ có trong tay thông tin quản trị cơ sở dữ liệu cùng các khóa bảo mật (keys/salts). Từ đó, việc đánh cắp dữ liệu người dùng hay chiếm quyền điều khiển hoàn toàn website chỉ còn là vấn đề thời gian.

Ngày 23/2, Ignatyev báo cáo phát hiện cho Wordfence, nhóm xác minh PoC và thông báo cho Nextendweb, nhà phát triển Smart Slider 3. Nextendweb thừa nhận lỗ hổng ngày 2/3 và phát hành bản vá 3.5.1.34 ngày 24/3.

Dù bản vá đã được tung ra, nhưng con số thống kê thực tế lại rất đáng lo ngại. Theo dữ liệu từ WordPress.org, hiện vẫn còn ít nhất 500.000 website vẫn đang chạy phiên bản dễ bị tấn công và đang đứng trước nguy cơ bị khai thác bất cứ lúc nào.

Dù hiện tại chưa ghi nhận các vụ tấn công thực tế khai thác CVE-2026-3098, nhưng kinh nghiệm cho thấy sau khi thông tin lỗ hổng được công bố, rủi ro bị khai thác sẽ tăng nhanh. Các quản trị viên nên cập nhật Smart Slider 3 lên phiên bản mới nhất, kiểm tra quyền truy cập của thành viên, sử dụng công cụ bảo mật như Wordfence hoặc Defender, đồng thời rà soát các file nhạy cảm và giám sát hành vi bất thường để bảo vệ dữ liệu và hệ thống.
​

Theo Bleeping Computer​