Đáng lưu ý, tin tặc không cần quyền xác thực tới trang web mà vẫn có thể khai thác lỗ hổng này để trích xuất thông tin nhạy cảm từ WordPress. Lỗ hổng có điểm số CVSS là 7.5 và được đánh giá ở mức độ nghiêm trọng, ảnh hưởng tới các phiên bản WP Statistics cũ hơn 13.0.8.
Quản trị viên trang web có thể hiển thị số liệu thống kê chi tiết về lưu lượng truy cập vào trang web của họ bằng cách truy cập trang “Pages” trong plugin WP Statistics để tạo truy vấn SQL nhằm cung cấp số liệu thống kê. Các nhà nghiên cứu phát hiện ra rằng có thể truy cập trang “Pages” trong plugin này mà không cần yêu cầu đặc quyền quản trị viên.
Các nghiên cứu cho biết: “Mặc dù trang "Pages" chỉ dành cho quản trị viên và sẽ không hiển thị thông tin cho người dùng thông thường, nhưng có thể truy cập trang này bằng cách gửi yêu cầu đến wp-admin/admin.php với tham số trang được đặt thành wps_pages_page. Vì truy vấn SQL được sử dụng cho việc khởi tạo cho trang "Pages”, điều này có nghĩa là bất kỳ người dùng nào truy cập trang web, ngay cả người dùng không đăng nhập, đều có thể khởi tạo truy vấn SQL này. Tuy nhiên, một tác nhân độc hại có thể cung cấp các giá trị độc hại cho các tham số ID từ đó gây ra lỗi trong truy vấn cơ sở dữ liệu".
Bằng cách điều khiển tham số ID với các giá trị độc hại, kẻ tấn công có bỏ vượt qua hàm esc_sql để tạo các truy vấn có thể cho phép trích xuất dữ liệu nhạy cảm từ trang web, bao gồm email của người dùng, mật khẩu băm, khóa chính và các giá trị mã hóa salt.
Các nhà nghiên cứu kết luận: "Trong một cuộc tấn công có chủ đích, lỗ hổng này có thể được sử dụng để trích xuất thông tin nhận dạng cá nhân từ các trang web thương mại có chứa thông tin khách hàng. Điều này nhấn mạnh tầm quan trọng của việc triển khai các biện pháp bảo vệ an ninh như tường lửa điểm cuối tại các vị trí dữ liệu nhạy cảm được lưu trữ".
Người dùng sử dụng WP Statistics plugin được khuyến cáo cập nhật lên phiên bản mới nhất để tránh rủi ro lộ lọt dữ liệu.
Hương Mai
22:00 | 26/01/2020
13:00 | 16/09/2022
16:00 | 18/04/2019
10:00 | 13/05/2024
08:00 | 21/02/2022
09:00 | 24/08/2018
15:00 | 14/03/2025
Theo công ty bảo mật Cyfirma (Singapore), chỉ trong vòng một tuần, lượt tải của ứng dụng độc hại thuộc nhóm SpyLoan dưới vỏ bọc mang tên "Finance Simplified" đã tăng chóng mặt từ 50.000 đến 100.000 lượt. Người dùng khi cài ứng dụng này có thể bị thu thập dữ liệu, áp đặt khoản vay bóc lột và tống tiền chiếm đoạt tài sản.
22:00 | 31/01/2025
Apple vừa phát đi thông báo khẩn cấp, khuyến cáo người dùng iPhone nên cập nhật phần mềm ngay lập tức để vá lỗi và bảo vệ dữ liệu cá nhân.
14:00 | 06/12/2024
Các nhà nghiên cứu của Công ty an ninh mạng Trend Micro (Nhật Bản) cho biết, nhóm tin tặc do nhà nước Trung Quốc hậu thuẫn là Salt Typhoon đã sử dụng backdoor GhostSpider mới trong các cuộc tấn công vào các nhà cung cấp dịch vụ viễn thông.
10:00 | 04/12/2024
Công ty an ninh mạng VulnCheck (Mỹ) vừa qua đã lên tiếng cảnh báo rằng, tin tặc có thể đang khai thác một lỗ hổng bảo mật nghiêm trọng trên các máy chủ ProjectSend, vốn đã được vá cách đây khoảng một năm.
22:00 | 30/01/2025|Giải pháp khác
08:00 | 29/01/2025|Công nghệ thông tin
Nhóm tin tặc UNC3886 được cho là có liên quan đến Trung Quốc đã tấn công các router MX đã hết vòng đời của Juniper Networks nhằm triển khai cửa hậu tuỳ chỉnh, cho thấy khả năng xâm nhập hạ tầng mạng nội bộ.
14:00 | 21/03/2025
