ช่องโหว่ “File Read” ในปลั๊กอิน Smart Slider ส่งผลกระทบต่อเว็บไซต์ WordPress กว่า 500,000 แห่ง

พบช่องโหว่ในปลั๊กอิน Smart Slider 3 ของ WordPress ซึ่งมีการใช้งานบนเว็บไซต์มากกว่า 800,000 แห่ง โดยช่องโหว่ดังกล่าวทำให้ผู้ใช้งานระดับ subscriber-level สามารถเข้าถึงไฟล์ใดก็ได้บนเซิร์ฟเวอร์

ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถใช้ช่องโหว่นี้เพื่อเข้าถึงไฟล์สำคัญ เช่น wp-config.php ซึ่งเก็บข้อมูลสำคัญอย่าง database credentials, keys และค่า Salt สำหรับความปลอดภัย หากข้อมูลส่วนนี้หลุดรอดไป อาจทำให้เกิดความเสี่ยงต่อการขโมยข้อมูลผู้ใช้ และการเข้ายึดครองเว็บไซต์ทั้งหมด

Smart Slider 3 เป็นหนึ่งในปลั๊กอิน WordPress ที่ได้รับความนิยมมากที่สุดสำหรับการสร้าง และจัดการสไลด์รูปภาพรวมถึงเนื้อหาแบบ Carousel โดยมีจุดเด่นคือตัว editor แบบลากและวางที่ใช้งานง่าย และมีเทมเพลตให้เลือกมากมาย

ช่องโหว่ด้านความปลอดภัยดังกล่าวมีหมายเลข CVE-2026-3098 ซึ่งถูกพบ และรายงานโดยนักวิจัย Dmitrii Ignatyev โดยส่งผลกระทบต่อปลั๊กอิน Smart Slider 3 ทุกเวอร์ชันจนถึง 3.5.1.33

ช่องโหว่นี้ถูกจัดลำดับความรุนแรงไว้ในระดับปานกลาง เนื่องจากผู้โจมตีจำเป็นต้องผ่านการยืนยันตัวตนก่อน อย่างไรก็ตาม ข้อจำกัดนี้ส่งผลกระทบเฉพาะกับเว็บไซต์ที่มีระบบสมาชิก หรือการลงทะเบียน ซึ่งเป็นฟีเจอร์ที่พบเห็นได้ทั่วไปบนแพลตฟอร์มต่าง ๆ ในปัจจุบัน

ช่องโหว่ดังกล่าวมีสาเหตุมาจากการที่ตัวปลั๊กอินไม่ได้ตรวจสอบสิทธิ์ในส่วนของ AJAX export ส่งผลให้ผู้ใช้งานคนใดก็ตามที่ล็อกอินเข้ามา  สามารถเรียกใช้งานฟังก์ชันเหล่านี้ได้

จากข้อมูลนักวิจัยของ Defiant บริษัทด้านความปลอดภัยของ WordPress ระบุว่า ฟังก์ชัน 'actionExportAll' ขาดการตรวจสอบประเภท และแหล่งที่มาของไฟล์ ทำให้สามารถอ่าน และเพิ่มไฟล์ใด ๆ ก็ได้จากเซิร์ฟเวอร์ลงในไฟล์ archive สำหรับการส่งออกได้ โดยที่กลไกความปลอดภัยอย่าง Nonce ไม่สามารถยับยั้งได้เนื่องจากผู้ใช้ที่ผ่านการยืนยันตัวตนก็ยังสามารถเข้าถึงค่า nonce นั้นได้

István Márton นักวิจัยจาก Defiant ระบุว่า "ในเวอร์ชันที่มีช่องโหว่ ฟังก์ชันนี้ไม่มีการตรวจสอบประเภท หรือที่มาของไฟล์เลย ทำให้ไม่ได้ดึงออกไปได้แค่รูป หรือวิดีโอ แต่รวมถึงไฟล์ .php ด้วย"

"ผลที่ตามมาคือ แฮ็กเกอร์ที่ล็อกอินในฐานะสมาชิกทั่วไป ก็สามารถแอบอ่านไฟล์ไหนก็ได้ในเซิร์ฟเวอร์ รวมถึงไฟล์ wp-config.php ซึ่งเก็บข้อมูลสำคัญอย่าง database credentials ตลอดจนคีย์ และ salt สำหรับการรักษาความปลอดภัยของการเข้ารหัส"

เว็บไซต์กว่า 500,000 แห่งยังคงมีความเสี่ยง

เมื่อวันที่ 23 กุมภาพันธ์ Ignatyev ได้รายงานการค้นพบของเขาไปยัง Wordfence ซึ่งทีมนักวิจัยได้ตรวจสอบ และยืนยันช่องโหว่ดังกล่าว ก่อนจะแจ้งไปยัง Nextendweb ผู้พัฒนา Smart Slider 3

Nextendweb รับทราบรายงานในวันที่ 2 มีนาคม และได้ออกแพตช์แก้ไขพร้อมกับการปล่อย Smart Slider เวอร์ชัน 3.5.1.34 เมื่อวันที่ 24 มีนาคมที่ผ่านมา

จากสถิติของ WordPress.org พบว่าในช่วงสัปดาห์ที่ผ่านมามีการดาวน์โหลดปลั๊กอินนี้ไปแล้ว 303,428 ครั้ง ซึ่งหมายความว่ายังมีเว็บไซต์ WordPress อย่างน้อย 500,000 แห่งที่ยังคงใช้ปลั๊กอินเวอร์ชันที่มีช่องโหว่ และเสี่ยงต่อการถูกโจมตี

ถึงแม้ยังไม่มีการตรวจพบว่ามีการใช้ช่องโหว่ CVE-2026-3098 ในการโจมตีจริง แต่สถานะนี้อาจเปลี่ยนแปลงได้ในไม่ช้า ดังนั้นเจ้าของเว็บไซต์ หรือผู้ดูแลระบบจึงควรดำเนินการแก้ไขโดยด่วน

ที่มา bleepingcomputer