พบช่องโหว่ร้ายแรงในปลั๊กอิน ThemeGrill Demo Importer plugin บน WordPress
เราได้รับรายงานการตรวจพบช่องโหว่ด้านความปลอดภัยกับ Plugin ที่มีการใช้งานอย่างแพร่หลาย
Plugin : ThemeGrill Demo Importer
คาดว่ากระทบต่อผู้ใช้งาน Theme จากค่าย ThemeGrill ทั้งหมด
โดย Version ของ Plugin ที่ได้รับผลกระทบมีตั้งแต่ Version 1.3.4 ถึง 1.6.1
ช่องโหว่ที่ตรวจพบนี้ เปิดโอกาสให้ Hacker สามารถส่ง String เข้ามายัง Website ที่ใช้งาน Plugin นี้
เพื่อทำการลบ Database ทั้งหมดได้
แนวทางการป้องกันแก้ไข
– update ThemeGrill Demo Importer ให้เป็น version ล่าสุด หรือลบ plugin นี้ออกไปก่อน
– เพิ่ม code เข้าไปในไฟล์ .htacess
# Block out any wordpress reset database via URI
RewriteCond %{REQUEST_URI} ^(.*)?admin-post\.php(.*)$ [NC]
RewriteCond %{QUERY_STRING} \bdo_reset_wordpress\b [NC]
RewriteRule .* – [F]
– มั่นสำรองข้อมูลบ่อยๆ
ที่มา webarx