Với lỗ hổng này, tin tặc có thể điều khiến máy chủ và triển khai các hoạt động trái phép gây ảnh hưởng nghiêm trọng cho doanh nghiệp.
Để khai thác lỗ hổng này, tin tặc sẽ tạo đường link chứa mã khai thác và lừa người quản trị truy cập đường link đó. Khi người quản trị truy cập vào đường link này lúc đang đăng nhập vào WordPress, một tài khoản quản trị xấu sẽ được thêm vào hệ thống quản trị website mà người dùng không được thông báo. Từ đây, tin tặc thực hiện xóa quyền quản trị của nạn nhân, thêm vào đó tiến hành thay đổi toàn bộ thông tin website.
Tiếp theo, sau khi đã thu được tài khoản này, tin tặc sẽ thực thi mã lệnh từ xa (RCE) qua chức năng chỉnh sửa mã nguồn của WordPress nhằm chiếm quyền điều khiển máy chủ, qua đó, tin tặc có thể thực hiện những cuộc tấn công gián điệp đối với các thiết bị và máy chủ thuộc cùng mạng nội bộ với máy chủ bị tấn công.
Theo các chuyên gia bảo mật đến từ Công ty An ninh mạng Việt Nam – VSEC: “Code Snippets trước phiên bản 2.14.0 đều bị ảnh hưởng”.
VSEC khuyến nghị quản trị viên của các website cần cân nhắc trước khi truy cập những đường link lạ, trang bị đủ kiến thức an toàn thông tin. Đặc biệt, cần cập nhật ngay phiên bản plugin Code Snippets mới nhất để khắc phục lỗ hổng này.
(function () {
var _fbq = window._fbq || (window._fbq = []);
if (!_fbq.loaded) {
var fbds = document.createElement(‘script’);
fbds.async = true;
fbds.src = “http://connect.facebook.net/en_US/fbds.js”;
var s = document.getElementsByTagName(‘script’)[0];
s.parentNode.insertBefore(fbds, s);
_fbq.loaded = true;
}
_fbq.push([‘addPixelId’, ‘262018417310658’]);
})();
window._fbq = window._fbq || [];
window._fbq.push([‘track’, ‘PixelInitialized’, {}]);
window.fbAsyncInit = function() {
FB.init({
appId : ‘288067561729014’,
autoLogAppEvents : true,
xfbml : true,
version : ‘v3.1’
});
};
(function (d, s, id) {
var js, fjs = d.getElementsByTagName(s)[0];
if (d.getElementById(id)) { return; }
js = d.createElement(s); js.id = id;
js.async = true;
js.src = “http://connect.facebook.net/en_US/sdk.js”;
fjs.parentNode.insertBefore(js, fjs);
}(document, ‘script’, ‘facebook-jssdk’));
