ทางทีม Wordfence Threat Intelligence ได้พบช่องโหว่บนปลั๊กอิน Hashthemes Plugin สำหรับ WordPress ช่องโหว่นี้จะช่วยให้แฮกเกอร์เข้าไปรีเซ็ตเว็บไซต์ และลบเนื้อหา ฐานข้อมูล รวมไปถึงไฟล์มีเดียที่อัปโหลดทั้งหมดได้
หมายเลขช่องโหว่นี้คือ CVE-2021-39333 ซึ่งมีระดับความรุนแรงอยู่ที่ 8.1 (ระดับสูง) โดยจะส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชั่น 1.1.1 ลงไป
Ram Gall วิศวกรและนักวิเคราะห์ด้านภัยคุกคามของ Wordfence ได้อธิบายว่า ปลั๊กอินนี้ไม่สามารถตรวจสอบการดำเนินการของ AJAX จำนวนมาก ในขณะที่ตรวจสอบ nonce ได้ ส่งผลให้ AJAX nonce มองเห็นผู้ใช้ทั้งหมด ไม่ว่าจะเป็นผู้ใช้ที่มีสิทธิ์ระดับต่ำ อย่างสมาชิก ในแดชบอร์ดระดับแอดมิน ด้วยเหตุนี้เองผู้ใช้ระดับต่ำจึงสามารถเข้ามารีเซ็ตเนื้อหาทั้งหมดบนเว็บได้
Ram ยังบอกอีกว่า หากเว็บไซต์ของคุณโดนโจมตีแล้ว ยากที่จะกู้คืนกลับมาได้ เว้นแต่จะ backup ข้อมูลไว้
เบื้องต้นทางทีม Wordfence ได้แจ้งปัญหาช่องโหว่นี้ไปยังผู้พัฒนาแล้ววันที่ 25 สิงหาคม 2021 แต่ไม่ได้รับการตอบกลับใดๆ จากทีมผู้พัฒนาเลย ทางทีม Wordfence จึงลบปลั๊กอินนี้ออกจาก WordPress.org
ล่าสุดทางผู้พัฒนาปลั๊กอินนี้ ได้ออกเวอร์ชั่นใหม่ออกมาคือเวอร์ชั่น 1.1.2 แต่ไม่ได้ออกมาบอกว่าเวอร์ชั่นลล่าสุดนี้มีการเปลี่ยนแปลงอะไรบ้าง
ที่มา: Wordfence, bleeping computer