กรมอนามัย พร้อมให้ข้อมูลข่าวสารที่มีประโยชน์สำหรับคุณ
แจ้งเตือนช่องโหว่ร้ายแรงในปลั๊กอิน Forminator ส่งผลกระทบต่อเว็บไซต์ WordPress มากกว่า 300,000 แห่ง
ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ด้านสาธารณสุข (HealthCERT) ขอแจ้งเตือนปลั๊กอิน Forminator ใน WordPress ที่ใช้บนเว็บไซต์มากกว่า 500,000 แห่ง มีความเสี่ยงต่อช่องโหว่ที่ทําให้ผู้ไม่ประสงค์ดีสามารถอัปโหลดไฟล์ได้ไม่จํากัดไปยังเชิร์ฟเวอร์ ช่องโหว่ระดับร้ายแรง (CVE-2024-28890) ใน Forminator ที่อาจอนุญาตให้ผู้โจมตีระยะไกล อัปโหลดมัลแวร์บนเว็บไซต์ได้ โดยใช้ปลั๊กอิน "ผู้โจมตีระยะไกลอาจได้รับข้อมูลที่ละเอียดอ่อน โดยการเข้าถึงไฟล์บนเชิร์พเวอร์ หรือแก้ไขเว็บไซต์ที่ใช้ปลั๊กอิน และทําให้เกิดเงื่อนไขการปฏิเสธ การให้บริการ (DoS) ได้" โดยมีช่องโหว่ 3 รายการดังนี้
- CVE-2024-28890 การตรวจสอบไฟล์ไม่เพียงพอในระหว่างการอัปโหลดไฟล์ ทําให้ผู้โจมตีระยะไกลสามารถอัปโหลดและเรียกใช้ไฟล์ที่เป็นอันตรายบนเชิร์พเวอร์ของเว็บไซได้ ส่งผลกระทบต่อ Forminator 1.29.0 และรุ่นก่อนหน้า
- CVE -2024-31077 ข้อบกพร่องในการแทรก SQL ช่วยให้ผู้โจมตีระยะไกลที่มีสิทธิ์ ของผู้ดูแลระบบสามารถดําเนินการสืบค้น SQLโดยโดยอําเภอใจในฐานข้อมูลของว็บไซต์ ส่งผลกระทบต่อ Forminator 1293 และรุ่นก่อนหน้า
- CVE-2024-31857 ข้อบกพร่อง Cross-site scripting (XSS) ที่ทําให้ผู้โจมตีระยะไกล สามารถเรียกใช้ HTML และโค้ดสครีปต์ในเบราว์เซอร์ของผู้ใช้งานได้ หากถูกหลอกให้ ติดตามลิงก์ที่สร้างขึ้นเป็นพิเศษ ส่งผลกระทบต่อ Forminator 1.15.4 และเก่ากว่า
แนะนําผู้ดูแลเว็บไซต์ที่ใช้ปลั๊กอิน Forminator ควรทําการอัปเดตให้เป็นเวอร์ชันล่าสุดโดยเร็วที่สุด ซึ่งจะแก้ไขช่องโหว่ทั้ง 3 รายการ และเพื่อลดการถูกโจมตีบนเว็บไซต์ WordPress ให้ใช้ปลั๊กอินนี้ให้น้อยที่สุด และปิดใช้งานปลั๊กอินที่ไม่ได้ใช้หรือที่ไม่จําเป็น
อ้างอิง
1. https://www.bleepingcomputer.com/news/security/critical-forminator-plugin-flaw-impacts-over-300k-wordpress-sites/
2. https://webboard-nsoc.ncsa.or.th/post/594
