มีการพบช่องโหว่ในปลั๊กอิน ProfilePress Plugin (ชื่อเดิมคือ WP User Avatar) บน WordPress แฮกเกอร์จะใช้ประโยชน์จากช่องโหว่เหล่านี้อัปโหลดไฟล์ที่เป็นอันตรายลงเว็บ และลงทะเบียนเป็นแอดมินได้ แม้ว่าจะมีการปิดระบบลงทะเบียนไว้ก็ตาม
ช่องโหว่ที่พบเหล่านี้ได้แก่
- ช่องโหว่หมายเลข CVE-2021-34621 เป็นช่องโหว่ที่ช่วยให้แฮกเกอร์ได้สิทธิ์ระดับแอดมิน โดยไม่ต้องมีการตรวจสอบสิทธิ์เลย
- ช่องโหว่หมายเลข CVE-2021-34622 เป็นช่องโหว่ที่ช่วยให้แฮกเกอร์สามารถยกระดับสิทธิ์ตัวเองให้เป็นแอดมินได้ แต่การที่แฮกเกอร์จะยกระดับสิทธิ์ได้นั้นจะต้องมีการลงทะเบียนไว้ก่อนแล้ว
- ช่องโหว่หมายเลข CVE-2021-34623 เป็นช่องโหว่ที่ช่วยให้แฮกเกอร์สามารถอัปเดตโปรไฟล์ โดยสามารถอัปโหลดไฟล์ต่างๆ รวมไปถึงไฟล์ PHP ลงบนเว็บ WordPress ได้ ส่งผลให้แฮกเกอร์สามารถสั่งรันโค้ดจากระยะไกล และเข้ายึดเว็บไซต์ได้
- ช่องโหว่หมายเลข CVE-2021-34624 เป็นช่องโหว่ที่เกิดจากแอดมินของเว็บไม่ได้มีการกำหนดการตั้งค่าการอัปโหลดไฟล์ไว้ และในหน้าโปรไฟล์มีการใช้ฟิลด์แบบ “custom fields” ซึ่งไม่มีการระบุเฉพาะเจาะจงว่าไฟล์ที่อัปโหลดลงไปนั้นเป็นไฟล์ประเภทไหนบ้าง แฮกเกอร์จะใช้ประโยชน์จากตรงนี้ทำการอัปโหลดไฟล์อันตรายและสั่งรันโค้ดจากระยะไกล เพื่อเข้าควบคุมเว็บไซต์ได้
ช่องโหว่ทั้งหมดนี้เกิดขึ้นในส่วน User Registration, User Profiles และ Login & Membership ของ ProfilePress (ชื่อเดิมคือ WP User Avatar) ระดับความรุนแรงของช่องโหว่นี้คือ 9.8 โดยมีผลกระทบกับปลั๊กอินนี้เวอร์ชัน 3.1 จนถึง 3.1.3
ซึ่งในตอนนี้ทางผู้พัฒนาปลั๊กอินนี้ออกแพ็ตช์เพื่ออุดช่องโหว่เหล่านี้ออกมาแล้ว ดังนั้นเพื่อเป็นการป้องกัน แนะนำให้ทำการอัปเดตเป็นเวอร์ชันล่าสุดคือ เวอร์ชัน 3.1.4
ที่มา: Wordfence