Chú ý người dùng WordPress!

Trang web của bạn có thể dễ dàng bị tấn công nếu bạn đang sử dụng “Ultimate Addons cho Beaver Builder” hoặc “Ultimate Addons for Elementor” và gần đây chưa cập nhật chúng lên các phiên bản mới nhất có sẵn.

Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng xác thực quan trọng nhưng dễ khai thác trong cả hai plugin WordPress cao cấp được sử dụng rộng rãi có thể cho phép kẻ tấn công từ xa truy cập quản trị vào các trang web mà không cần bất kỳ mật khẩu nào.

Điều đáng lo ngại hơn là những kẻ tấn công cơ hội đã bắt đầu khai thác lỗ hổng này trong vòng 2 ngày sau khi phát hiện ra để thỏa hiệp các trang web WordPress dễ bị tổn thương và cài đặt một cửa hậu độc hại để truy cập sau.

Cả hai plugin dễ bị tấn công, do công ty phát triển phần mềm Brainstorm Force sản xuất, hiện đang cung cấp năng lượng cho hàng trăm ngàn trang web WordPress sử dụng khung Elementor và Beaver Builder, giúp quản trị viên và nhà thiết kế mở rộng chức năng của trang web của họ với nhiều widget, mô-đun, mẫu trang hơn.

Được phát hiện bởi các nhà nghiên cứu tại dịch vụ bảo mật web MalCare, lỗ hổng này nằm ở cách cả hai plugin cho phép chủ tài khoản WordPress, bao gồm cả quản trị viên, xác thực thông qua cơ chế đăng nhập của Facebook và Google.

Theo lời khuyên của tư vấn lỗ hổng, do thiếu kiểm tra trong phương thức xác thực khi người dùng đăng nhập qua Facebook hoặc Google, các plugin dễ bị tấn công có thể bị lừa cho phép người dùng độc hại đăng nhập như bất kỳ người dùng được nhắm mục tiêu nào khác mà không cần bất kỳ mật khẩu nào.

“Tuy nhiên, các phương thức xác thực của Facebook và Google đã không xác minh mã thông báo được trả lại bởi Facebook và Google và vì họ không yêu cầu mật khẩu, nên không có kiểm tra mật khẩu”, các nhà nghiên cứu WebARX giải thích, đã phân tích lỗ hổng và xác nhận hoạt động của nó khai thác.

“Để khai thác lỗ hổng, hacker cần sử dụng ID email của người dùng quản trị trang web. Trong hầu hết các trường hợp, thông tin này có thể được truy xuất khá dễ dàng”, MalCare nói.

Trong email, WebARX xác nhận rằng những kẻ tấn công đang lạm dụng lỗ hổng này để cài đặt plugin thống kê SEO giả sau khi tải lên tệp tmp.zip trên máy chủ WordPress được nhắm mục tiêu, cuối cùng sẽ thả tệp backlink wp-xmlrpc.php vào thư mục gốc thư mục của trang web dễ bị tổn thương.

MalCare đã phát hiện ra lỗ hổng này vào thứ Tư, ảnh hưởng đến các phiên bản bổ sung được liệt kê dưới đây và báo cáo cho các nhà phát triển cùng ngày, người sau đó đã nhanh chóng giải quyết vấn đề và phát hành các phiên bản vá của cả hai chỉ trong vòng 7 giờ.

Ultimate Addons cho Elementor <= 1.20.0
Ultimate Addons cho Beaver Builder <= 1.24.0

Lỗ hổng bỏ qua xác thực đã được vá bằng việc phát hành “Ultimate Addons cho Elementor phiên bản 1.20.1” và “Ultimate Addons cho Beaver Builder phiên bản 1.24.1”, các trang web bị ảnh hưởng được khuyến nghị cài đặt càng sớm càng tốt.

Nguồn The Hacker News

Khóa học Quảng Trị Mạng – MCSA

Lỗ hổng trong Elementor và Beaver Addons cho phép mọi người hack các trang WordPress

Bài viết liên quan: