เมื่อสัปดาห์ที่ผ่านมา WordPress ออกแพทช์ใหม่ล่าสุด ที่อุดช่องโหว่สามรายการที่เกี่ยวกับ Cross-Site Scripting (XSS) และ SQL Injection ที่อาจนำไปสู่การเกิดช่องโหว่อีกมากมายได้ ซึ่งช่องโหว่ดังกล่าวจะพบใน WordPress ตั้งแต่รุ่น 4.7.1 หรือเก่ากว่า
โดยบั๊กตัวแรกถูกรายงานโดย David Herrera จาก Alley Interactive เป็นช่องโหว่ที่เปิดให้ข้อมูลรั่วไหล ด้วยการแสดงหน้าอินเทอร์เฟซของแอดมินสำหรับกำหนดชื่อในฟังก์ชั่น “Press This” ซึ่งจะทำให้เป็นการสั่งแสดงโพสต์เนื้อหาต่างๆ ให้แก่ผู้ใช้ที่ไม่ได้รับอนุญาต
บั๊กที่สองถูกค้นพบโดยนักวิจัย Mo Jangda เกี่ยวข้องกับกระบวนการ WP_Query ที่ใช้เข้าถึงตัวแปรและฟังก์ชั่นต่างๆ ในแกนหลักของ WordPress ได้ ซึ่งเป็นช่องโหว่ให้โจมตีแบบ SQL Injection ซึ่งแพทช์นี้นอกจากจะปกป้องตัวโค้ดหลักของ WordPress แล้ว ยังช่วยป้องกันไม่ให้ปลั๊กอินหรือธีมอื่นๆ มาเป็นต้นเหตุทำให้เกิดช่องโหว่ลักษณะนี้ได้ด้วย
ส่วนช่องโหว่รายการสุดท้ายเกี่ยวข้องกับ XSS ซึ่งถูกค้นพบและรายงานโดยทีมงานภายในของ WordPress เอง ซึ่งเกี่ยวข้องกับการโพสต์รายการคลาสของตารางในตัว WordPress
โดยตัวอัพเดตล่าสุดของ WordPress นี้รีบออกมาเผยแพร่หลังจากเปิดตัวรุ่น 4.7.1 ไม่ถึงสองสัปดาห์ โดยผู้ใช้สามารถดาวน์โหลดจากเว็บหลักได้ด้วยตัวเอง หรือคลิกปุ่ม Update Now บนแผงควบคุมเพื่อดาวน์โหลดได้ รวมทั้งสามารถอัพเดตผ่านฟีเจอร์ Automatic Update ถ้ามีการเปิดใช้งานอีกด้วย
ที่มา : http://www.zdnet.com/article/wordpress-patches-critical-xss-sql-injection-bugs/
