Đáng lưu ý, tin tặc không cần quyền xác thực tới trang web mà vẫn có thể khai thác lỗ hổng này để trích xuất thông tin nhạy cảm từ WordPress. Lỗ hổng có điểm số CVSS là 7.5 và được đánh giá ở mức độ nghiêm trọng, ảnh hưởng tới các phiên bản WP Statistics cũ hơn 13.0.8.
Quản trị viên trang web có thể hiển thị số liệu thống kê chi tiết về lưu lượng truy cập vào trang web của họ bằng cách truy cập trang “Pages” trong plugin WP Statistics để tạo truy vấn SQL nhằm cung cấp số liệu thống kê. Các nhà nghiên cứu phát hiện ra rằng có thể truy cập trang “Pages” trong plugin này mà không cần yêu cầu đặc quyền quản trị viên.
Các nghiên cứu cho biết: “Mặc dù trang "Pages" chỉ dành cho quản trị viên và sẽ không hiển thị thông tin cho người dùng thông thường, nhưng có thể truy cập trang này bằng cách gửi yêu cầu đến wp-admin/admin.php với tham số trang được đặt thành wps_pages_page. Vì truy vấn SQL được sử dụng cho việc khởi tạo cho trang "Pages”, điều này có nghĩa là bất kỳ người dùng nào truy cập trang web, ngay cả người dùng không đăng nhập, đều có thể khởi tạo truy vấn SQL này. Tuy nhiên, một tác nhân độc hại có thể cung cấp các giá trị độc hại cho các tham số ID từ đó gây ra lỗi trong truy vấn cơ sở dữ liệu".
Bằng cách điều khiển tham số ID với các giá trị độc hại, kẻ tấn công có bỏ vượt qua hàm esc_sql để tạo các truy vấn có thể cho phép trích xuất dữ liệu nhạy cảm từ trang web, bao gồm email của người dùng, mật khẩu băm, khóa chính và các giá trị mã hóa salt.
Các nhà nghiên cứu kết luận: "Trong một cuộc tấn công có chủ đích, lỗ hổng này có thể được sử dụng để trích xuất thông tin nhận dạng cá nhân từ các trang web thương mại có chứa thông tin khách hàng. Điều này nhấn mạnh tầm quan trọng của việc triển khai các biện pháp bảo vệ an ninh như tường lửa điểm cuối tại các vị trí dữ liệu nhạy cảm được lưu trữ".
Người dùng sử dụng WP Statistics plugin được khuyến cáo cập nhật lên phiên bản mới nhất để tránh rủi ro lộ lọt dữ liệu.
Hương Mai
22:00 | 26/01/2020
13:00 | 16/09/2022
16:00 | 18/04/2019
10:00 | 13/05/2024
08:00 | 21/02/2022
09:00 | 24/08/2018
14:00 | 07/01/2025
Những kẻ tấn công từ Triều Tiên đứng sau chiến dịch tấn công Contagious Interview đang diễn ra đã bị phát hiện đang phát tán một phần mềm độc hại JavaScript mới có tên là OtterCookie.
09:00 | 13/12/2024
Các nhà nghiên cứu an ninh mạng đang cảnh báo về các chiến dịch tấn công email độc hại lợi dụng bộ công cụ lừa đảo dưới dạng dịch vụ (PhaaS) có tên là Rockstar 2FA, nhằm mục đích đánh cắp thông tin đăng nhập tài khoản Microsoft 365.
07:00 | 07/11/2024
Ngày 30/10, nền tảng LottieFiles đã phát đi cảnh báo về cuộc tấn công chuỗi cung ứng nhắm vào gói npm "lottie-player" của họ. Kẻ tấn công đã lén lút cài mã độc vào các phiên bản mới của gói này nhằm chiếm đoạt tiền điện tử từ ví của người dùng.
10:00 | 27/10/2024
Kho lưu trữ Internet Archive, nơi lưu giữ lịch sử toàn bộ Internet, xác nhận họ đã bị tấn công, làm lộ dữ liệu của 31 triệu người dùng. Ngay cả những tổ chức uy tín nhất cũng không miễn nhiễm với các cuộc tấn công mạng tinh vi.
Năm 2025 được dự báo sẽ chứng kiến sự gia tăng các cuộc tấn công mạng, với sự xuất hiện và phát triển mạnh mẽ của những phần mềm độc hại nhắm vào cả cá nhân lẫn tổ chức trên toàn cầu. Bài viết tập trung nghiên cứu và phân tích 5 mối đe dọa phần mềm độc hại hàng đầu được dự báo sẽ gây ảnh hưởng lớn nhất trong năm nay. Từ những dòng mã độc tống tiền tinh vi đến trojan đánh cắp thông tin và công cụ truy cập từ xa. Những mối đe dọa này không chỉ đặt ra thách thức lớn cho các chuyên gia an ninh mạng mà còn yêu cầu sự chuẩn bị kỹ lưỡng từ mọi tổ chức và cá nhân.
10:00 | 06/02/2025