Lỗ hổng trong plugin WordPress khiến hơn 2 triệu trang web bị tấn công

[WhiteHat News #ID:0911]

Plugin Advanced Custom Fields của WordPress tồn tại lỗ hổng an ninh mới, người dùng được khuyến cáo cập nhật lên phiên bản 6.1.6 càng sớm càng tốt.

Lỗ hổng CVE-2023-30777, liên quan đến lỗi Reflected XSS. Nhà nghiên cứu Rafie Muhammad của Patchstack cho biết: “Lỗ hổng cho phép người dùng chưa xác thực đánh cắp thông tin nhạy cảm, từ đó leo thang đặc quyền trên trang WordPress bằng cách lừa người dùng đặc quyền truy cập vào đường dẫn URL”.

Các cuộc tấn công Reflected XSS thường xảy ra khi nạn nhân bị lừa nhấp vào một liên kết giả mạo được gửi qua email hoặc qua một hình thức khác tương tự. Từ đó, mã độc được gửi đến trang web tồn tại lỗ hổng, dội cuộc tấn công lại phía trình duyệt của người dùng.

Hình thức tấn công Reflected XSS không giống với các cuộc tấn công Stored XSS về phạm vi và quy mô. Ở đây, hacker cần gửi liên kết độc hại tới càng nhiều nạn nhân càng tốt.

Imperva cho biết: “Một cuộc tấn công Reflected XSS thường là kết quả của các truy vấn đến không được làm sạch đầy đủ, cho phép thao túng các chức năng của ứng dụng web và kích hoạt các tập lệnh độc hại”.

​

CVE-2023-30777 có thể được kích hoạt trong cài đặt hoặc cấu hình mặc định của Advanced Custom Fields. Tuy nhiên, chỉ những người dùng đã đăng nhập có quyền truy cập vào plugin mới có thể làm như vậy.

Nguồn: The Hacker News​