WordPress ออกแพตช์แก้ไขช่องโหว่ในเวอร์ชัน 5.0.1 แล้ว หลังจากที่ได้ปล่อยเวอร์ชั่น 5.0 ออกมาเมื่อสัปดาห์ที่ผ่านมา แต่พบว่ามีช่องโหว่เยอะมาก จนผู้ใช้บ่นกันอย่างหนาหู อีกทั้ง Yoast SEO ผู้เขียน Plugin ยอดนิยมของ WordPress ยังเปิดเผยอีกว่า ได้ไปพบว่าในหน้า Activation ของผู้ใช้งานสามารถถูก Google ทำ index ได้และอาจนำไปสู่การเผยข้อมูลอย่างที่อยู่อีเมลหรือรหัสผ่านเดิมที่ถูก Generate มาแต่ทางนักพัฒนาของ WordPress กล่าวว่า “เป็นกรณีที่เกิดขึ้นได้น้อยมากๆ”
อย่างไรก็ตาม ทาง WordPress ก็ได้ออกแพตช์แก้ไขช่องโหว่ดังกล่าวแล้ว โดยแก้ไขช่องโหว่ในแพตช์ในส่วนของการตรวจสอบ MIME สำหรับการอัปโหลดไฟล์คือเวอร์ชันก่อนหน้านั้นไฟล์ที่อัปโหลดอาจจะมีเนื้อไม่ตรงกับ Extension ได้ (.Docx, jpg หรืออื่นๆ) ในแพตช์ใหม่นี้จึงเพิ่มความสามารถตรวจสอบความตรงกันของเนื้อหาและ Extension หลังจากที่ช่องโหว่ XSS ถูกค้นพบโดย Tim Coen และ Slavo Mihajloski
และ Tim Coen และ Slavo Mihajloski ยังได้ค้นพบช่องโหว่ XSS อีกจุดหนึ่งคือผู้ใช้งาน WordPress อาจถูกแก้ไขคอมเม้นต์ใหม่ได้จากผู้ใช้งานระดับสูงกว่าซึ่งการเป็นช่องทางให้นำไปสู่ช่องโหว่ดังกล่าว อย่างไรก็ตาม Coen ระบุว่าตัว WordPress เองไม่ได้รับผลกระทบโดยตรงแต่จะมีผลกับ Plugin บางตัวเท่านั้น รวมถึง RIPS Technologies ได้เครดิตรายงาน Bug 2 รายการว่า Author สามารถแก้ไข Meta Data เพื่อลบไฟล์ที่ตัวเองไม่มีสิทธิ์ อีกช่องโหว่คือการสร้างโพสต์ทั้งที่ตัวเองไม่มีสิทธิ์เช่นกัน ทั้งนี้ WordPress ก็ได้แนะนำว่าให้ผู้ใช้รีบไปอัพเดตเป็นเวอรชั่น 5.0.1 กันโดยเร็ว
Credit : zdnet
Facebook Comments