Ngô Thắng IT Chia sẻ và Đào tạo kỹ năng phần mềm
Lỗ hổng bảo mật Blind SQL Injection đã được phát hiện trong plugin phổ biến nhất hiện nay là WordPress SEO by Yoast. WPScan Vulnerability Database chính là đơn vị đã công bố lỗ hổng này đến các tác giả của plugin, kèm theo các khuyến cáo giúp xử lý sự cố:
The latest version at the time of writing (1.7.3.3) has been found to be affected by two authenticated (admin, editor or author user) Blind SQL Injection vulnerabilities.
The authenticated Blind SQL Injection vulnerability can be found within the ‘admin/class-bulk-editor-list-table.php’ file. The orderby and order GET parameters are not sufficiently sanitized before being used within a SQL query.
Yoast đã nhanh chóng có phản hồi khi gần như ngay lập tức phát hành phiên bản 1.7.4 để vá lỗi bảo mật trên:
Fixed possible CSRF and blind SQL injection vulnerabilities in bulk editor. Added strict sanitation to order_by and order params. Added extra nonce checks on requests sending additional parameters. Minimal capability needed to access the bulk editor is now Editor. Thanks Ryan Dewhurst from WPScan for discovering and responsibly disclosing this issue.
Hàng loạt các web/blog lớn trên toàn thế giới đã đưa tin về vấn đề này theo đó lỗ hổng này có tên gọi Blind SQL Injection bằng việc có một tác giả đăng nhập, biên tập viên hoặc quản trị truy cập vào một URL bị thay đổi một hacker có thể thay đổi cơ sở dữ liệu của bạn.
Cách khắc phục
Nếu bạn đang sử dụng phiên bản củ của plugin wordpress SEO thì hãy cập nhật lên bản mới nhất 1.7.4 ngay hôm nay để tránh nhũng nguy cơ về bảo mật. Tải bản mới nhất tại wordpress.org
Một plugin rất nổi tiếng khác là Akismet cũng đã tung ra phiên bản 3.1 để cải thiện khả năng bảo mật dữ liệu cho người dùng vào hôm nay. Các bạn có thể xem thông tin chi tiết về cập nhật này tại đây.
Cuối cùng, nếu bạn thích bài viết này, hãy Subscribe blog của tôi để thường xuyên cập nhật những bài viết hay nhất, mới nhất nhé. Cảm ơn rất nhiều.
Nguồn: Sưu tầm
