–
Lỗ hổng CVE-2024-1538 ảnh hưởng các phiên bản trước 7.2.4 của plugin File Manager. Nguyên nhân tồn tại lỗ hổng là do việc xác thực nonce không đủ trong trang wp_file_manager của plugin khi xử lý tham số ‘lang’. Nonce (number used only once) là một số được thêm vào khối băm hoặc mã hóa trong một blockchain mà khi được thử lại sẽ đáp ứng các hạn chế về mức độ khó.
Điều này cho phép kẻ tấn công chèn các tệp JavaScript cục bộ vào trang web, từ đó thực thi mã từ xa (RCE) nếu chúng lừa được quản trị viên trang web nhấp vào liên kết độc hại.
Hậu quả là kẻ tấn công có thể:
- Chèn mã độc, cho phép giành quyền kiểm soát trang web, chuyển hướng khách truy cập hoặc cài đặt backdoor.
- Đánh cắp dữ liệu nhạy cảm bao gồm dữ liệu khách hàng, thông tin tài chính hoặc sở hữu trí tuệ.
- Phá hoại nội dung trang web.
- Sử dụng trang web làm bàn đạp cho các cuộc tấn công khác hoặc biến nó là một phần của mạng botnet lớn hơn.
Hiện tại chưa phát hiện dấu hiệu lỗ hổng CVE-2024-1538 bị khai thác trên thực tế. Đồng thời, các nhà phát triển plugin File Manager cũng đã phát hành phiên bản 7.2.5 giải quyết lỗ hổng này.
Ngoài ra người dùng nên thường xuyên kiểm tra các plugin và theme đã cài đặt trên trang web WordPress. Xóa các plugin không sử dụng hoặc lỗi thời để giảm rủi ro bị tấn công.
Vina Aspire là công ty tư vấn, cung cấp các giải pháp, dịch vụ CNTT, An ninh mạng, bảo mật & an toàn thông tin tại Việt Nam. Đội ngũ của Vina Aspire gồm những chuyên gia, cộng tác viên giỏi, có trình độ, kinh nghiệm và uy tín cùng các nhà đầu tư, đối tác lớn trong và ngoài nước chung tay xây dựng.
Các Doanh nghiệp, tổ chức có nhu cầu liên hệ Công ty Vina Aspire theo thông tin sau:
Email: info@vina-aspire.com | Website: www.vina-aspire.com
Tel: +84 944 004 666 | Fax: +84 28 3535 0668
Vina Aspire – Vững bảo mật, trọn niềm tin
