Lỗ hổng thực thi mã từ xa trong PHP Everywhere ảnh hưởng hàng nghìn trang web

Nhiều lỗ hổng an ninh nghiêm trọng đã được tiết lộ trong plugin WordPress PHP Everywhere - plugin được sử dụng bởi hơn 30.000 trang web trên toàn thế giới. Các lỗ hổng có thể bị hacker lợi dụng để thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.

PHP Everywhere được sử dụng để chuyển đổi mã PHP trên các cài đặt WordPress, cho phép người dùng chèn và thực thi mã dựa trên PHP trong Trang, Bài đăng và Thanh bên của hệ thống quản lý nội dung.

Ba lỗ hổng đều được đánh giá có mức độ nghiêm trọng cao với điểm CVSS lên tới 9.9, ảnh hưởng đến các phiên bản từ 2.0.3 trở xuống.

• CVE-2022-24663 - Thực thi mã từ xa bởi người dùng Subscriber qua shortcode
• CVE-2022-24664 - Thực thi mã từ xa bởi người dùng Contributor qua metabox
• CVE-2022-24665 - Thực thi mã từ xa bởi người dùng Contributor thông qua Block Gutenberg.

Việc khai thác thành công ba lỗ hổng này có thể dẫn đến việc thực thi mã PHP độc hại dẫn đến kiểm soát toàn bộ trang web.

WordPress Wordfence đã tiết lộ những lỗi này cho tác giả của plugin - Alexander Fuchs - vào ngày 4 tháng 1, sau đó các bản cập nhật được phát hành vào ngày 12 tháng 1 năm 2022 với phiên bản 3.0.0 bằng cách loại bỏ hoàn toàn mã tồn tại lỗ hổng.

"Bản cập nhật phiên bản 3.0.0 của plugin này loại bỏ mã ngắn và tiện ích con [php_everywhere]. Chạy trình hướng dẫn nâng cấp từ trang cài đặt của plugin để di chuyển mã cũ của bạn sang các Block Gutenberg."

Cần lưu ý rằng phiên bản 3.0.0 chỉ hỗ trợ các đoạn mã PHP thông qua Block Editor, người dùng vẫn đang sử dụng Classic Editor được yêu cầu phải gỡ cài đặt plugin và tải xuống giải pháp thay thế để lưu trữ mã PHP tùy chỉnh.

Nguồn: The Hacker News

Dịch: Whitehat