ระบบ Security plugin ของ WordPress เปิดเผยข้อมูลส่วนตัวของสมาชิกเว็บไซต์

ปลั๊กอิน Anti-Malware Security และ Brute-Force Firewall ของ WordPress ที่มีผู้ติดตั้งกว่า 100,000 เว็บไซต์ มีช่องโหว่ที่ทำให้สมาชิก (subscribers) สามารถอ่านไฟล์ใดบนเซิร์ฟเวอร์ได้ตามต้องการ ซึ่งอาจทำให้ข้อมูลส่วนตัวรั่วไหลได้

ปลั๊กอินนี้มีหน้าที่ในการสแกนมัลแวร์ และป้องกันการโจมตีแบบ Brute-Force และป้องกันการโจมตีจากช่องโหว่ของปลั๊กอิน รวมไปถึงป้องกันความพยายามในการโจมตีฐานข้อมูล

ช่องโหว่นี้มีหมายเลข CVE-2025-11705 โดยนักวิจัย Dmitrii Ignatyev เป็นผู้รายงานไปยัง Wordfence ซึ่งช่องโหว่นี้ส่งผลกระทบต่อปลั๊กอินในเวอร์ชัน 4.23.81 และเวอร์ชันก่อนหน้า

โดยช่องโหว่เกิดจากการขาดการตรวจสอบในฟังก์ชัน GOTMLS_ajax_scan() ซึ่งทำหน้าที่ประมวลผล AJAX requests โดยใช้ nonce ที่ผู้โจมตีสามารถเข้าถึงได้

ช่องโหว่ดังกล่าวทำให้ผู้ใช้ที่มีสิทธิ์ระดับต่ำ สามารถเรียกงานใช้ฟังก์ชันนี้ได้ และสามารถอ่านไฟล์บนเซิร์ฟเวอร์ได้ตามต้องการ รวมไปถึงข้อมูลที่สำคัญ เช่น ไฟล์ configuration wp-config.php ที่มีการเก็บชื่อ และ credentials ของฐานข้อมูลเอาไว้

เมื่อเข้าถึงฐานข้อมูลได้แล้ว ผู้โจมตีสามารถดึงข้อมูลสำคัญออกมาได้ เช่น password hashes, อีเมลของผู้ใช้งาน, posts และข้อมูลส่วนตัวอื่น ๆ (รวมถึง keys และ salts สำหรับการยืนยันตัวตนที่ปลอดภัย)

โดยความรุนแรงของช่องโหว่นี้ไม่ถึงระดับ Critical เนื่องจากต้องมีการยืนยันตัวตนก่อนจึงจะสามารถโจมตีได้ แต่เว็บไซต์หลายแห่งก็อนุญาตให้ผู้ใช้ลงทะเบียนเป็นสมาชิก (subscribe) และเพิ่มระดับการเข้าถึงส่วนต่าง ๆ ของเว็บไซต์ เช่น ส่วนความคิดเห็น

เว็บไซต์ที่เปิดให้มีการลงทะเบียนสมาชิก หรือบัญชีผู้ใช้ในรูปแบบใดก็ตาม ถือว่าเข้าเงื่อนไขในการโจมตี และมีความเสี่ยงที่จะถูกโจมตีจากช่องโหว่ CVE-2025-11705 ดังกล่าว

Wordfence ได้รายงานปัญหานี้พร้อมกับหลักฐาน proof-of-concept exploit ให้กับผู้พัฒนา Eli โดยผ่านทางทีมความปลอดภัยของ WordPress.org เมื่อวันที่ 14 ตุลาคมที่ผ่านมา

เมื่อวันที่ 15 ตุลาคมที่ผ่านมา ผู้พัฒนาได้ปล่อยแพตช์ปลั๊กอินเวอร์ชัน 4.23.83 ซึ่งแก้ไขช่องโหว่ CVE-2025-11705 โดยเพิ่มการยืนยันตัวตนของผู้ใช้ที่เหมาะสมผ่านฟังก์ชันใหม่ที่ชื่อว่า GOTMLS_kill_invalid_user()

ตามสถิติของ WordPress.org มีผู้ดูแลเว็บไซต์ประมาณ 50,000 ราย ที่ดาวน์โหลดเวอร์ชันล่าสุดนับตั้งแต่เปิดตัว ซึ่งแสดงว่ามีเว็บไซต์จำนวนเท่ากันที่ยังคงใช้งานปลั๊กอินเวอร์ชันที่มีช่องโหว่อยู่

ในปัจจุบัน Wordfence ยังไม่พบสัญญาณของการโจมตีโดยใช้ช่องโหว่นี้ในวงกว้าง แต่ขอแนะนำให้ทำการอัปเดตแพตช์ เนื่องจากมีการเปิดเผยข้อมูลเกี่ยวกับช่องโหว่นี้ออกสู่สาธารณะแล้ว ซึ่งอาจดึงดูดความสนใจของผู้โจมตีได้

ที่มา : bleepingcomputer