200.000 trang web WordPress có nguy cơ bị tin tặc tấn công thông qua việc khai thác lỗ hổng nghiêm trọng trong plugin Ultimate Member. 

Lỗ hổng được theo dõi là CVE-2023-3460 (điểm CVSS: 9,8), ảnh hưởng đến tất cả các phiên bản của plugin Ultimate Member, bao gồm cả phiên bản mới nhất 2.6.6 được phát hành ngày 29/6/2023. 

Ultimate Member là một plugin phổ biến giúp tạo hồ sơ người dùng và cộng đồng trên các trang web WordPress. Nó cũng cung cấp các tính năng quản lý tài khoản. 

Những kẻ tấn công không được xác thực có thể khai thác lỗ hổng này để tạo tài khoản người dùng mới với các đặc quyền quản trị và có quyền kiểm soát hoàn toàn các trang web bị ảnh hưởng. 

Lỗ hổng này bắt nguồn từ việc sử dụng một logic blocklist không đầy đủ để thay đổi giá trị meta wp_capabilities của một người dùng mới, từ đó biến người đó thành quản trị viên và có đầy đủ quyền truy cập vào trang web. 

Trong các cuộc tấn công được theo dõi, lỗ hổng đang được sử dụng để đăng ký tài khoản mới dưới tên apads, se_brutal, segs_brutal, wpadmins, wpengine_backup và wpenginer để tải lên các plugin và theme độc hại thông qua bảng quản trị của trang web. 

Người dùng được khuyến nghị cập nhật lên phiên bản 2.6.7 của plugin Ultimate Member để khắc phục lỗ hổng hoặc tắt plugin cho đến khi có thể áp dụng bản vá để đảm bảo an toàn. Ngoài ra, nên kiểm tra tất cả các người dùng cấp quản trị trên trang web để xác định xem có tài khoản trái phép nào được thêm vào hay không. 

Nguồn: The Hacker News