Đáng lưu ý, tin tặc không cần quyền xác thực tới trang web mà vẫn có thể khai thác lỗ hổng này để trích xuất thông tin nhạy cảm từ . Lỗ hổng có điểm số CVSS là 7.5 và được đánh giá ở mức độ nghiêm trọng, ảnh hưởng tới các phiên bản WP Statistics cũ hơn 13.0.8.
Quản trị viên trang web có thể hiển thị số liệu thống kê chi tiết về lưu lượng truy cập vào trang web của họ bằng cách truy cập trang “Pages” trong plugin WP Statistics để tạo truy vấn SQL nhằm cung cấp số liệu thống kê. Các nhà nghiên cứu phát hiện ra rằng có thể truy cập trang “Pages” trong plugin này mà không cần yêu cầu đặc quyền quản trị viên.
Các nghiên cứu cho biết: “Mặc dù trang "Pages" chỉ dành cho quản trị viên và sẽ không hiển thị thông tin cho người dùng thông thường, nhưng có thể truy cập trang này bằng cách gửi yêu cầu đến wp-admin/admin.php với tham số trang được đặt thành wps_pages_page. Vì truy vấn SQL được sử dụng cho việc khởi tạo cho trang "Pages”, điều này có nghĩa là bất kỳ người dùng nào truy cập trang web, ngay cả người dùng không đăng nhập, đều có thể khởi tạo truy vấn này. Tuy nhiên, một tác nhân độc hại có thể cung cấp các giá trị độc hại cho các tham số ID từ đó gây ra lỗi trong truy vấn cơ sở dữ liệu".
Bằng cách điều khiển tham số ID với các giá trị độc hại, kẻ tấn công có bỏ vượt qua hàm esc_sql để tạo các truy vấn có thể cho phép trích xuất dữ liệu nhạy cảm từ trang web, bao gồm của người dùng, mật khẩu băm, khóa chính và các giá trị mã hóa salt.
Các nhà nghiên cứu kết luận: "Trong một cuộc tấn công có chủ đích, lỗ hổng này có thể được sử dụng để trích xuất thông tin nhận dạng cá nhân từ các trang web thương mại có chứa thông tin khách hàng. Điều này nhấn mạnh tầm quan trọng của việc triển khai các biện pháp bảo vệ an ninh như tường lửa điểm cuối tại các vị trí dữ liệu nhạy cảm được lưu trữ".
Người dùng sử dụng WP Statistics plugin được khuyến cáo cập nhật lên phiên bản mới nhất để tránh rủi ro lộ lọt dữ liệu.
Hương Mai
22:00 | 26/01/2020
13:00 | 16/09/2022
16:00 | 18/04/2019
10:00 | 13/05/2024
08:00 | 21/02/2022
09:00 | 24/08/2018
15:00 | 25/03/2024
Ngày 15/3/2024, Quỹ Tiền tệ Quốc tế (IMF) cho biết họ đã bị tấn công mạng sau khi những kẻ tấn công xâm phạm 11 tài khoản email của tổ chức này vào đầu năm nay.
14:00 | 23/02/2024
Trong thời đại kỹ thuật số phát triển như hiện nay, tấn công phishing đã trở thành một mối đe dọa rất khó phòng tránh đối với người dùng mạng. Theo báo cáo của Tổ chức toàn cầu về chống lừa đảo trên mạng (Anti-Phishing Working Group), trong quý IV/2022, đã có hơn 304.000 trang web phishing được phát hiện, lừa đảo hơn 300 triệu người dùng trên toàn cầu. Đáng chú ý, số lượng trang web phishing đã tăng lên 6,9% so với quý trước, đạt mức cao nhất trong vòng 5 năm. Các cuộc tấn công phishing nhắm vào các tổ chức tài chính, ngân hàng và thanh toán trực tuyến chiếm 42,4% tổng số các cuộc tấn công. Số lượng các tên miền giả mạo đã tăng lên 11,5% so với quý III/2022, đạt mức cao nhất trong vòng 3 năm. Trong bối cảnh như vậy, việc nâng cao nhận thức và có các biện pháp đối phó với tấn công phishing là rất quan trọng.
14:00 | 16/01/2024
Các tài khoản X (Twitter) chính thức của Netgear và Hyundai MEA (có hơn 160.000 người theo dõi) là những tài khoản nổi tiếng mới nhất bị tin tặc tấn công để phát tán lừa đảo, nhằm lây nhiễm phần mềm độc hại, chiếm đoạt tiền điện tử của các nạn nhân.
08:00 | 08/01/2024
Eagers Automotive - Tập đoàn bán lẻ ô tô hàng đầu ở Australia và New Zealand xác nhận một sự cố tấn công mạng, gây ảnh hưởng đến một số hệ thống công nghệ thông tin khiến tập đoàn này phải tạm dừng mọi hoạt động giao dịch để ngăn chặn rò rỉ thông tin vào ngày 28/12 vừa qua.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Dell đã thông báo về một vụ vi phạm dữ liệu lớn, sau khi tin tặc có bí danh Menelik đăng bán 49 triệu dữ liệu khách hàng của Dell trên web đen.
16:00 | 15/05/2024
