Cảnh báo các lỗ hổng trong hệ thống Bludit CMS

14:00 | 10/07/2024 | TIN TỨC SẢN PHẨM

Mới đây, các chuyên gia đã phát hiện năm lỗ hổng trong Bludit - một hệ thống quản lý nội dung mã nguồn mở được sử dụng rộng rãi bởi nhiều trang web và blog. Trong số đó, hai lỗ hổng nghiêm trọng, cho phép thực thi mã từ xa (RCE), có khả năng cho phép kẻ tấn công kiểm soát hoàn toàn các trang web bị ảnh hưởng.

Cảnh báo các lỗ hổng trong hệ thống Bludit CMS

Hai lỗ hổng RCE, được theo dõi định danh CVE-2024-24550 và CVE-2024-24551, bắt nguồn từ việc xử lý tải lên tệp không đúng cách trong API tệp và API hình ảnh của Bludit. Những kẻ tấn công, nếu có mã thông báo API, có thể khai thác các lỗ hổng này để tải lên và thực thi các tệp PHP độc hại, từ đó xâm phạm máy chủ cơ bản. Dẫn đến hậu quả như phá hoại các trang web, đánh cắp dữ liệu nhạy cảm, phân phối phần mềm độc hại hoặc thậm chí khởi động các cuộc tấn công tiếp theo vào các hệ thống khác. Hành động ngay lập tức là cần thiết để bảo vệ các trang web sử dụng Bludit.

Ngoài các lỗ hổng RCE, hệ thống Bludit CMS còn tồn tại thêm ba lỗ hổng khác:

Lỗ hổng Session Fixation định danh CVE-2024-24552 cho phép kẻ tấn công có thể chiếm quyền phiên người dùng và truy cập trái phép. Weak Password Hashing định danh CVE-2024-24553 có thể dễ bị tấn công brute-force. Insecure Token Generation định danh CVE-2024-24554: Mã thông báo dễ đoán, cho phép vượt qua bảo mật. Hiện tại, Bludit vẫn chưa đưa ra bất kỳ giải pháp nào cho các lỗ hổng này.

Các chuyên gia khuyến cáo người dùng Bludit nên tắt API nếu không cần thiết để giảm nguy cơ bị tấn công RCE; Theo dõi nhật ký và hoạt động của trang web để phát hiện dấu hiệu bất thường; Nếu người dùng ưu tiên bảo mật cần cân nhắc chuyển sang CMS khác có khả năng khắc phục lỗ hổng tốt hơn. Ngoài ra, người dùng nên theo dõi các bản cập nhật từ nhóm Bludit để đảm bảo an toàn.

Nguyễn Như

‹ › ×

Tin liên quan

Trojan quảng cáo lây nhiễm hàng nghìn website thông qua plug-in CMS

09:00 | 31/05/2018

Mới đây, một chiến dịch lừa đảo với mục tiêu khiến các website hiển thị các quảng cáo độc hại và chuyển hướng người dùng đến thông báo “máy tính bị nhiễm Trojan”, hoặc “mã độc đã gây ảnh hưởng tới hàng nghìn website”.

Apple vá lỗ hổng có thể cho phép nghe lén trên các thiết bị AirPods

14:00 | 02/07/2024

Apple đã phát hành bản cập nhật chương trình cơ sở cho AirPods có thể cho phép kẻ xấu truy cập vào tai nghe một cách trái phép.

Nvidia vá các lỗ hổng trình điều khiển GPU có mức độ nghiêm trọng cao

12:00 | 19/06/2024

Nvidia đã phát hành bản cập nhật phần mềm giải quyết nhiều lỗ hổng nghiêm trọng cao trong trình điều khiển GPU và phần mềm GPU ảo (Virtual GPU).

Tin cùng chuyên mục

Apple phát hành iOS 18.3.2 giải quyết lỗ hổng bảo mật nghiêm trọng

15:00 | 14/03/2025

Apple vừa chính thức phát hành bản cập nhật iOS 18.3.2 và iPadOS 18.3.2, nhằm khắc phục một lỗ hổng bảo mật nghiêm trọng trong WebKit.

Màn hình giám sát sức khỏe của Trung Quốc chứa cửa hậu để thu thập dữ liệu

10:00 | 13/02/2025

Các chuyên gia của Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA), trực thuộc Bộ An ninh Nội địa Hoa Kỳ, vừa phát hiện trên loại màn hình Contec CMS8000, được sử dụng để hiển thị tình trạng sức khỏe của bệnh nhân trong các bệnh viện tại Mỹ, có cài đặt sẵn cửa hậu bí mật.

Google Project Zero phát hiện ra lỗ hổng Zero-Click trên các thiết bị Samsung

22:00 | 25/01/2025

Các nhà nghiên cứu an ninh mạng đã trình bày chi tiết về một lỗ hổng bảo mật hiện đã được vá, ảnh hưởng đến bộ giải mã Monkey's Audio (APE) trên điện thoại thông minh Samsung, có thể dẫn đến việc thực thi mã trái phép.

Lỗ hổng bảo mật trong Nuclei cho phép bỏ qua chữ ký và thực thi mã

13:00 | 13/01/2025

Một lỗ hổng vừa được phát hiện trong Nuclei của ProjectDiscovery, một công cụ quét lỗ hổng nhanh, hiệu quả và có khả năng mở rộng. Nếu khai thác thành công, lỗ hổng này có thể cho phép kẻ tấn công bỏ qua các lần kiểm tra chữ ký và thực thi mã độc.