Một lỗ hổng bảo mật đã được phát hiện trong WPForms, một plugin WordPress được hơn sáu triệu trang web sử dụng. Theo báo cáo của các đồng nghiệp tại Bleeping Computer, vụ vi phạm đã được một nhà nghiên cứu bảo mật có tên villu164 phát hiện vào cuối tháng 10. Sau đó, nhà nghiên cứu đã cảnh báo nhóm tại WordFence, một plugin bảo mật dành cho WordPress. Để đổi lại khám phá của mình, anh đã nhận được khoản tiền thưởng 2.376 đô la sau đó vài ngày.
Có sẵn trong phiên bản trả phí hoặc miễn phí với một số hạn chế, plugin này giúp bạn dễ dàng tạo biểu mẫu tùy chỉnh cho các trang web WordPress. Có thể thiết kế biểu mẫu liên hệ, biểu mẫu phản hồi, biểu mẫu đăng ký và biểu mẫu thanh toán. Nó tương thích với một số trình quản lý thanh toán trực tuyến, bao gồm PayPal và Stripe.
Bằng cách khai thác lỗ hổng, người dùng Internet có thể hoàn tiền trên Stripe mà không cần sự đồng ý của người quản trị trang web. Trên thực tế, người tiêu dùng có thể được hoàn lại tiền từ một cửa hàng trực tuyến sau khi đặt hàng.
Hơn nữa, người dùng có thể hủy đăng ký tùy ý. Điều này rõ ràng gây ảnh hưởng lớn đến tất cả chủ sở hữu trang web. Lỗ hổng này thực sự gây rủi ro cho doanh thu của họ.
Sự cố này nằm ở một chức năng nhằm kiểm tra xem yêu cầu có đến từ một trang hay đường dẫn quản trị (ví dụ: bảng điều khiển WordPress). Tuy nhiên, nó không kiểm tra quyền của người dùng đưa ra yêu cầu. Nói cách khác, nó không đảm bảo rằng người dùng đưa ra yêu cầu có đủ quyền cần thiết để truy cập dữ liệu hoặc những hành động này. Cuối cùng, bất kỳ người dùng nào cũng có thể đưa ra các lệnh dành riêng cho quản trị viên.
Phiên bản 1.8.4 và lên đến 1.9.2.1 của plugin đều bị ảnh hưởng. Để khắc phục sự cố, các nhà phát triển tại Awesome Motive, nhóm đứng sau WPForms, đã tích hợp bản sửa lỗi vào bản cập nhật 1.9.2.2 của plugin.
WordFence khuyến khích "Người dùng WordPress đảm bảo rằng trang web của họ được cập nhật lên phiên bản vá lỗi mới nhất của WPForms càng sớm càng tốt vì tính chất nghiêm trọng của lỗ hổng này." Theo số liệu thống kê của WordPress, vẫn còn hơn ba triệu trang web dễ bị tấn công.
Đây không phải là lần đầu tiên lỗ hổng trong một plugin WordPress phổ biến khiến hàng triệu trang web gặp rủi ro. Tháng trước, một lỗ hổng trong Really Simple Security, một plugin tập trung vào bảo mật của WordPress, đã cho phép kẻ tấn công từ xa có toàn quyền truy cập quản trị vào hơn 4 triệu trang web. Vài tháng trước, một lỗ hổng trong plugin Popup Builder thậm chí đã khiến hàng nghìn trang web bị hack.
Nguồn: Bleeping Computer
Hoàn tiền trái phép
Có sẵn trong phiên bản trả phí hoặc miễn phí với một số hạn chế, plugin này giúp bạn dễ dàng tạo biểu mẫu tùy chỉnh cho các trang web WordPress. Có thể thiết kế biểu mẫu liên hệ, biểu mẫu phản hồi, biểu mẫu đăng ký và biểu mẫu thanh toán. Nó tương thích với một số trình quản lý thanh toán trực tuyến, bao gồm PayPal và Stripe.
Bằng cách khai thác lỗ hổng, người dùng Internet có thể hoàn tiền trên Stripe mà không cần sự đồng ý của người quản trị trang web. Trên thực tế, người tiêu dùng có thể được hoàn lại tiền từ một cửa hàng trực tuyến sau khi đặt hàng.
Hơn nữa, người dùng có thể hủy đăng ký tùy ý. Điều này rõ ràng gây ảnh hưởng lớn đến tất cả chủ sở hữu trang web. Lỗ hổng này thực sự gây rủi ro cho doanh thu của họ.
Sự cố này nằm ở một chức năng nhằm kiểm tra xem yêu cầu có đến từ một trang hay đường dẫn quản trị (ví dụ: bảng điều khiển WordPress). Tuy nhiên, nó không kiểm tra quyền của người dùng đưa ra yêu cầu. Nói cách khác, nó không đảm bảo rằng người dùng đưa ra yêu cầu có đủ quyền cần thiết để truy cập dữ liệu hoặc những hành động này. Cuối cùng, bất kỳ người dùng nào cũng có thể đưa ra các lệnh dành riêng cho quản trị viên.
Bản sửa lỗi đã được triển khai
Phiên bản 1.8.4 và lên đến 1.9.2.1 của plugin đều bị ảnh hưởng. Để khắc phục sự cố, các nhà phát triển tại Awesome Motive, nhóm đứng sau WPForms, đã tích hợp bản sửa lỗi vào bản cập nhật 1.9.2.2 của plugin.
WordFence khuyến khích "Người dùng WordPress đảm bảo rằng trang web của họ được cập nhật lên phiên bản vá lỗi mới nhất của WPForms càng sớm càng tốt vì tính chất nghiêm trọng của lỗ hổng này." Theo số liệu thống kê của WordPress, vẫn còn hơn ba triệu trang web dễ bị tấn công.
Đây không phải là lần đầu tiên lỗ hổng trong một plugin WordPress phổ biến khiến hàng triệu trang web gặp rủi ro. Tháng trước, một lỗ hổng trong Really Simple Security, một plugin tập trung vào bảo mật của WordPress, đã cho phép kẻ tấn công từ xa có toàn quyền truy cập quản trị vào hơn 4 triệu trang web. Vài tháng trước, một lỗ hổng trong plugin Popup Builder thậm chí đã khiến hàng nghìn trang web bị hack.
Nguồn: Bleeping Computer
