Theo The Hacker News, các chuyên gia từ Wordfence - công ty viết plugin bảo mật cùng tên cho WordPress - nhận định lỗ hổng khiến tin tặc không cần xác thực vẫn có thể tải xuống các tập tin tùy ý từ website đang cài plugin này.

BackupBuddy là một plugin cho phép sao lưu toàn bộ cài đặt WordPress từ bảng điều khiển, bao gồm các tập tin chủ đề (themes), trang, bài đăng, người dùng... Plugin này có khoảng 140.000 lượt cài đặt đang hoạt động. Trên website của mình, nhà phát triển cho biết plugin này hiện có 1 triệu website sử dụng.

Lỗ hổng có tên mã CVE-2022-31474, với điểm CVSS: 7,5 ảnh hưởng từ phiên bản 8.5.8.0 đến 8.7.4.1. Lỗi bắt nguồn từ chức năng có tên sao thư mục cục bộ (Local Directory Copy) được thiết kế để lưu trữ bản sao cục bộ trên máy chủ.

Theo Wordfence, lỗ hổng là kết quả của việc triển khai không an toàn, cho phép kẻ tấn công chưa được xác thực tải xuống bất kỳ tập tin tùy ý nào trên máy chủ. Chi tiết về khai thác lỗi từ lỗ hổng đã không được công bố do tính quá dễ dàng của thao tác.

iThemes, nhà phát triển của plugin BackupBuddy cho biết lỗ hổng đã cho phép kẻ tấn công xem nội dung của bất kỳ tập tin nào trên máy chủ mà cài đặt WordPress có thể đọc được, bao gồm tập tin nhạy cảm như wp-config.php và nội dung trong /etc/passwd.

Wordfence nói phát hiện lỗi CVE-2022-31474 vào ngày 26/8 và đã chặn gần 5 triệu cuộc tấn công, với hầu hết các cuộc xâm nhập cố gắng đọc những nội dung tập tin nhạy cảm.

Người dùng BackupBuddy nên cập nhật lên phiên bản mới nhất (8.7.5). Nếu không may trở thành nạn nhân, quản trị viên website WordPress cần thay đổi mật khẩu cơ sở dữ liệu, thay đổi khóa WordPress SALT và đổi mã API trong tập tin wp-config.php.