Elementor ปล่อยช่องโหว่ CSRF ระดับสูง (CVSS 8.8) ที่ทำให้แฮกเกอร์สร้างผู้ดูแลระบบใหม่ได้หลังผู้ใช้คลิกลิงก์ที่โจมตี ช่องโหว่นี้กระทบเวอร์ชัน 4.3.0 และ 4.3.1 ซึ่งติดตั้งบนเว็บ WordPress มากกว่า 10 ล้านไซต์ ผู้ใช้ที่ยังไม่อัปเดตเสี่ยงถูกแฮกได้ทันที เพราะลิงก์โจมตีสามารถแฝงในอีเมล แชท หรือคอมเมนต์ได้ ไม่ต้องพึ่งพา JavaScript หรือฟอร์มใดๆ วิธีแก้คืออัปเดตเป็นเวอร์ชัน 4.3.2 ที่แก้ไขช่องโหว่แล้ว ช่องโหว่นี้เกิดจากโมดูล Editor Events ของ Elementor ที่ละเลยการป้องกัน CSRF เมื่อ URI มีคำว่า 'elementor/v1/events/' อยู่ แฮกเกอร์สามารถใช้ REST API ของเว็บทั้งหมด รวมถึง WordPress core และปลั๊กอินอื่นๆ เพื่อสร้างผู้ดูแลระบบใหม่ผ่าน URL ที่มีพารามิเตอร์เฉพาะ เช่น ?_method=POST พร้อมข้อมูลผู้ใช้
ElementorCSRFWordPressความปลอดภัยไซเบอร์
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว