ช่องโหว่ SQLi ใน Elementor Ally plugin ส่งผลกระทบต่อเว็บไซต์ WordPress กว่า 250,000 เว็บไซต์

พบช่องโหว่ประเภท SQL injection ใน Ally ซึ่งเป็น WordPress plugin จาก Elementor ที่ช่วยเรื่องการเข้าถึง และการใช้งานเว็บไซต์ ปัจจุบันมียอดติดตั้งมากกว่า 400,000 ครั้ง ช่องโหว่นี้อาจทำให้ผู้ไม่หวังดีสามารถขโมยข้อมูลสำคัญได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์

ช่องโหว่ดังกล่าวมีหมายเลข CVE-2026-2313 และถูกจัดให้อยู่ในระดับความรุนแรงสูง โดยผู้ค้นพบคือ Drew Webber (mcdruid) วิศวกรด้านความปลอดภัยเชิงรุกจาก Acquia ซึ่งเป็นบริษัท SaaS ผู้ให้บริการแพลตฟอร์มประสบการณ์ดิจิทัล (DXP) ระดับองค์กร

ช่องโหว่ SQL injection มีมานานกว่า 25 ปีแล้ว และยังคงเป็นภัยคุกคามที่สำคัญในปัจจุบัน แม้ว่าจะเข้าใจกันดี และแก้ไขหลีกเลี่ยงได้ง่ายในทางเทคนิคก็ตาม โดยช่องโหว่ด้านความปลอดภัยประเภทนี้ จะเกิดขึ้นเมื่อข้อมูลที่ผู้ใช้ป้อน ถูกแทรกเข้าไปในคำสั่ง SQL โดยตรงโดยไม่มีการตรวจสอบ หรือกำหนดพารามิเตอร์ที่เหมาะสม

ช่องโหว่ดังกล่าวช่วยให้ผู้โจมตีสามารถแทรกคำสั่ง SQL เพื่อปรับเปลี่ยนการทำงานของ Query ทำให้สามารถอ่าน, แก้ไข หรือลบข้อมูลในฐานข้อมูลได้

CVE-2026-2313 ส่งผลกระทบต่อ Ally ทุกเวอร์ชันจนถึง 4.0.3 ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาต สามารถแทรก queries SQL ผ่าน URL path ได้ เนื่องจากมีการจัดการพารามิเตอร์ URL ที่ผู้ใช้ป้อนเข้ามาในฟังก์ชันสำคัญอย่างไม่เหมาะสม

บทวิเคราะห์ทางเทคนิคจาก WordFence ระบุว่า "สาเหตุเกิดจากการทำ Escaping กับพารามิเตอร์ URL ใน `get_global_remediations()` method ที่ไม่ดีพอ โดยข้อมูลจะถูกนำไปต่อท้ายโดยตรงใน SQL JOIN clause โดยไม่มีการตรวจสอบความถูกต้องให้เหมาะสมสำหรับ SQL context"

แม้ว่าจะมีการใช้ esc_url_raw() เพื่อความปลอดภัยของ URL แต่ก็ไม่สามารถป้องกันการแทรกอักขระพิเศษของ SQL (single quotes, วงเล็บ) ได้

สิ่งนี้ทำให้ผู้โจมตีที่ไม่ได้รับอนุญาตสามารถเพิ่มคำสั่ง SQL ลงในคำสั่งที่มีอยู่แล้ว เพื่อใช้ดึงข้อมูลที่สำคัญออกจากฐานข้อมูลผ่านเทคนิค Time-based blind SQL injection ได้"

Wordfence ตั้งข้อสังเกตว่า การเจาะช่องโหว่นี้จะทำได้ก็ต่อเมื่อ plugin มีการเชื่อมต่อกับบัญชี Elementor และเปิดใช้งาน Remediation module อยู่เท่านั้น

Wordfence ได้ตรวจสอบช่องโหว่ และแจ้งให้ผู้พัฒนาทราบเมื่อวันที่ 13 กุมภาพันธ์ ต่อมา Elementor ได้ปล่อยแพตช์แก้ไขในเวอร์ชัน 4.1.0 (เวอร์ชันล่าสุด) เมื่อวันที่ 23 กุมภาพันธ์ โดยนักวิจัยได้รับเงินรางวัลจำนวน 800 ดอลลาร์จากการค้นพบช่องโหว่ดังกล่าว

ข้อมูลจาก WordPress.org แสดงให้เห็นว่ามีเว็บไซต์ที่ใช้งาน Ally plugin เพียงประมาณ 36% เท่านั้นที่อัปเกรดเป็นเวอร์ชัน 4.1.0 แล้ว ทำให้ยังมีเว็บไซต์อีกกว่า 250,000 แห่ง ที่ยังคงเสี่ยงต่อช่องโหว่ CVE-2026-2313

นอกจากการอัปเกรด Ally plugin เป็นเวอร์ชัน 4.1.0 แล้ว ขอแนะนำให้เจ้าของ หรือผู้ดูแลเว็บไซต์ติดตั้งอัปเดตความปลอดภัยล่าสุดของ WordPress ที่เพิ่งปล่อยออกมาเมื่อวานนี้ด้วย

WordPress 6.9.2 ได้แก้ไขช่องโหว่ด้านความปลอดภัยถึง 10 รายการ รวมถึงช่องโหว่ Cross-site scripting (XSS), Authorization bypass และ Server-side request forgery (SSRF) โดยผู้เชี่ยวชาญแนะนำให้ติดตั้งแพลตฟอร์มเวอร์ชันใหม่นี้โดยทันที

ที่มา : bleepingcomputer