ชั้น 29 ออฟฟิศเศส แอท เซ็นทรัลเวิลด์

999/9 พระราม 1 กรุงเทพฯ 10330

บริการตลอด 24 ชั่วโมง

ทุกวัน ไม่เว้นวันหยุด

0-2107-3466

โทรเลยดิจะรออะไร

Facebook-f Twitter Youtube
News › พบ 11 ช่องโหว่บนปลั๊กอิน Royal Elementor Addons สำหรับ WordPress

พบ 11 ช่องโหว่บนปลั๊กอิน Royal Elementor Addons สำหรับ WordPress

เมื่อวันที่ 23 ธันวาคม 2022 ทางทีม Wordfence ได้พบช่องโหว่ในปลั๊กอิน Royal Elementor Addons ซึ่งเป็นปลั๊กอินสำหรับ WordPress และในตอนนี้มีการติดตั้งไปแล้วกว่า 1 แสนเว็บไซต์
ช่องโหว่ทั้ง 11 มีดังนี้
  1. ช่องโหว่หมายเลข CVE-2022-4700 ระดับความรุนแรง 5.4 (ปานกลาง) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้เป็นช่องโหว่ที่ไม่มีการตรวจสอบการติดตั้งธีม ซึ่งจะช่วยให้ผู้ใช้ที่ Login เข้าสู่ระบบด้วยสิทธิ์ของสมาชิก สามารถเปลี่ยนธีมเองได้ ซึ่งหากไม่มีการติดตั้งธีม Royal Elementor Kit ลงบนเว็บไซต์ หากแฮกเกอร์หรือสมาชิกไปเปลี่ยนธีม จะส่งผลให้หน้าเว็บไซต์จะไม่สามารถโหลดได้ และจะแสดงข้อความ error แทน
  2. ช่องโหว่หมายเลข CVE-2022-4702 ระดับความรุนแรง 5.4 (ปานกลาง) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้แฮกเกอร์สามารถเข้าไปปิดปลั๊กอินที่จำเป็นบนเว็บไซต์ได้ ทำให้เว็บไซต์เสี่ยงต่อการโดนโจมตี
  3. ช่องโหว่หมายเลข CVE-2022-4704 ระดับความรุนแรง 5.4 (ปานกลาง) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้แฮกเกอร์สามารถนำเข้า Template ได้ ซึ่งอาจมีการเปลี่ยนหรือเขียนทับ Template ได้
  4. ช่องโหว่หมายเลข CVE-2022-4701 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้เกิดจากมีการติดตั้งปลั๊กอิน contact-form-7, media-library-assistant, หรือ woocommerce ผ่าน AJAX – wpr_activate_required_plugins ซึ่งแฮกเกอร์จะโจมตีผ่านช่องโหว่นี้ได้ยากมาก เพราะต้องมีการเปิดใช้งานปลั๊กอินทั้ง 3 ตัวนั้นก่อน ถึงจะโจมตีได้
  5. ช่องโหว่หมายเลข CVE-2022-4703 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้แฮกเกอร์หรือผู้ที่ Login เข้าเว็บอย่างถูกต้องทำการลบเนื้อหา โดยที่ไม่ต้องใส่เนื้อหาใหม่ ซึ่งช่องโหว่นี้อาจส่งผลให้เว็บไซต์ไม่อาจใช้งานได้
  6. ช่องโหว่หมายเลข CVE-2022-4705 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้ผู้ใช้งานที่ Login เข้าสู่ระบบด้วยสิทธิ์ของสมาชิก ก็จะสามารถเข้าไปตั้งค่านำเข้าหรือเลือก Template ของเว็บไซต์ได้
  7. ช่องโหว่หมายเลข CVE-2022-4711 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้ผู้ใช้งานที่ Login เข้ามาอย่างถูกต้องแก้ไขหรืออัปเดตการตั้งค่าเมนูของเว็บไซต์ได้
  8. ช่องโหว่หมายเลข CVE-2022-4708 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้ผู้ใช้งานที่ Login เข้ามาอย่างถูกต้องทำการแก้ไขและกำหนดช่วงเวลาในการใช้ Template ได้
  9. ช่องโหว่หมายเลข CVE-2022-4709 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้จะช่วยให้ผู้ใช้งานที่ Login เข้ามาอย่างถูกต้องทำการนำเข้าและเปิดใช้งาน Template จาก Library ของผู้พัฒนาปลั๊กอินได้
  10. ช่องโหว่หมายเลข CVE-2022-4707 ระดับความรุนแรง 4.3 (ต่ำ) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้เป็นช่องโหว่แบบ Cross-Site Request Forgery(CSRF) จะใช้ประโยชน์จากช่องโหว่นี้หลอกแอดมินที่ดูแลเว็บไซต์ให้เข้าสู่ระบบเพื่อทำการสร้างเมนู Template
  11. ช่องโหว่หมายเลข CVE-2022-4707 ระดับความรุนแรง 6.1 (กลาง) ส่งผลกระทบกับปลั๊กอินนี้ตั้งแต่เวอร์ชัน 1.3.59 ลงไป ช่องโหว่นี้เป็นช่องโหว่แบบ Cross-Site Scripting(XSS) โดยแฮกเกอร์จะหลอกให้แอดมินดำเนินการด้วยวิธีการต่างๆ เช่น คลิกลิงก์ หรือเพิ่มแฮกเกอร์เข้าไปเป็นผู้ดูแลระบบ หรือใส่ Backdoor ลงในปลั๊กอินหรือธีม หรือเปลี่ยนเส้นทางไปยังเว็บที่แฮกเกอร์สร้างขึ้น หากการดำเนินการดังกล่าวสำเร็จ แฮกเกอร์จะสามารถเข้ายึดเว็บไซต์ได้
เบื้องต้นทาง Wordfence ได้แจ้งปัญหานี้ไปยังทีมผู้พัฒนาปลั๊กอินแล้ว ทางทีมผู้พัฒนาปลั๊กอินได้ออกแพตช์ 1.3.60 เพื่ออุดช่องโหว่ทั้ง 11 แล้ว เมื่อวันที่ 29 ธันวาคม 2022
ดังนั้น เพื่อเป็นการป้องกันการโจมตี แนะนำให้ทำการอัปเดตปลั๊กอิน Royal Elementor Addons ให้เป็นเวอร์ชันล่าสุด
ที่มา: Wordfence
  • สนใจติดตามข่าวสารกับทางโฮสอะตอมได้ที่ hostatom.com
Categories
Tags