ປັກອິນ (Plugin) Anti-Malware Security ແລະ Brute-Force Firewall ຂອງ WordPress ທີ່ມີຜູ້ຕິດຕັ້ງເຖິງ 100,000 ເວັບໄຊ ມີຊ່ອງໂຫວ່ທີ່ເຮັດໃຫ້ສະມາຊິກ (subscribers) ສາມາດອ່ານຟາຍເທິງເຊີເວີໄດ້ຕາມຕ້ອງການ ຊຶ່ງອາດຈະເຮັດໃຫ້ຂໍ້ມູນສ່ວນຕົວຮົ່ວໄຫຼໄດ້.
ປັກອິນນີ້ມີຫນ້າທີ່ໃນການສະແກນມັນແວ (Malware) ແລະ ປ້ອງກັນການໂຈມຕີແບບ Brute-Force ແລະ ປ້ອງກັນການໂຈມຕີຈາກຊ່ອງໂຫວ່ຂອງປັກອິນ ລວມເຖິງປ້ອງກັນຄວາມພະຍາຍາມໃນການໂຈມຕີຖານຂໍ້ມູນ.
ຊ່ອງໂຫວ່ນີ້ມີໝາຍເລກ CVE-2025-11705 ໂດຍນັກວິໄຈ Dmitrii Ignatyev ເປັນຜູ້ລາຍງານໄປຫາ Wordfence ຊຶ່ງຊ່ອງໂຫວ່ນີ້ສົ່ງຜົນກະທົບຕໍ່ປັກອິນໃນເວີຊັ່ນ 4.23.81 ແລະ ເວີຊັ່ນກ່ອນໜ້າ.
ຊ່ອງໂຫວ່ເກີດຈາກການຂາດການກວດສອບໃນຟັງຊັ່ນ GOTMLS_ajax_scan() ຊຶ່ງເຮັດຫນ້າທີ່ປະມວນຜົນ AJAX requests ໂດຍໃຊ້ nonce ທີ່ຜູ້ໂຈມຕີສາມາດເຂົ້າເຖິງໄດ້.
ຊ່ອງໂຫວ່ດັ່ງກ່າວເຮັດໃຫ້ຜູ້ໃຊ້ທີ່ມີສິດລະດັບຕ່ຳ ສາມາດເອີ້ນງານໃຊ້ຟັງຊັ່ນນີ້ໄດ້ ແລະ ສາມາດອ່ານຟາຍເທິງເຊີເວີໄດ້ຕາມຕ້ອງການ ລວມເຖິງຂໍ້ມູນທີ່ສຳຄັນ ເຊັ່ນ: ຟາຍ configuration wp-config.php ທີ່ມີການເກັບຊື່ ແລະ credentials ຂອງຖານຂໍ້ມູນເອົາໄວ້.
ເມື່ອເຂົ້າເຖິງຖານຂໍ້ມູນໄດ້ແລ້ວ ຜູ້ໂຈມຕີສາມາດດຶງຂໍ້ມູນສຳຄັນອອກມາໄດ້ ເຊັ່ນ: password hashes, ອີເມວຂອງຜູ້ໃຊ້ງານ, posts ແລະ ຂໍ້ມູນສ່ວນຕົວອື່ນໆ (ລວມເຖິງ keys ແລະ salts ສຳລັບການຢືນຢັນຕົວຕົນທີ່ບອດໄພ).
ຄວາມຮຸນແຮງຂອງຊ່ອງໂຫວ່ນີ້ບໍ່ເຖິງລະດັບ Critical ເນື່ອງຈາກຕ້ອງມີການຢືນຢັນຕົວຕົນກ່ອນຈຶ່ງຈະສາມາດໂຈມຕີໄດ້ ແຕ່ເວັບໄຊຫຼາຍແຫ່ງກໍ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ລົງທະບຽນເປັນສະມາຊິກ (subscribe) ແລະ ເພີ່ມລະດັບການເຂົ້າເຖິງສ່ວນຕ່າງໆ ຂອງເວັບໄຊ ເຊັ່ນ: ສ່ວນຄວາມຄິດເຫັນ.
ເວັບໄຊທີ່ເປີດໃຫ້ມີການລົງທະບຽນສະມາຊິກ ຫຼື ບັນຊີຜູ້ໃຊ້ໃນຮູບແບບໃດກໍ່ຕາມ ຖືວ່າເຂົ້າເງື່ອນໄຂໃນການໂຈມຕີ ແລະ ມີຄວາມສ່ຽງທີ່ຈະຖືກໂຈມຕີຈາກຊ່ອງໂຫວ່ CVE-2025-11705 ດັ່ງກ່າວ.
Wordfence ໄດ້ລາຍງານບັນຫານີ້ພ້ອມກັບຫຼັກຖານ proof-of-concept exploit ໃຫ້ກັບຜູ້ພັດທະນາ Eli ໂດຍຜ່ານທາງທີມຄວາມປອດໄພຂອງ WordPress.org ໃນວັນທີ 14 ຕຸລາ ທີ່ຜ່ານມາ.
ໃນວັນທີ 15 ຕຸລາ ທີ່ຜ່ານມາ ຜູ້ພັດທະນາໄດ້ປ່ອຍແພັດປັກອິນເວີຊັ່ນ 4.23.83 ຊຶ່ງແກ້ໄຂຊ່ອງໂຫວ່ CVE-2025-11705 ໂດຍເພີ່ມການຢືນຢັນຕົວຕົນຂອງຜູ້ໃຊ້ທີ່ເໝາະສົມ ຜ່ານຟັງຊັ່ນໃໝ່ ທີ່ຊື່ວ່າ GOTMLS_kill_invalid_user().
ຕາມສະຖິຕິຂອງ WordPress.org ມີຜູ້ເບິ່ງແຍງເວັບໄຊປະມານ 50,000 ລາຍ ທີ່ດາວໂຫຼດເວີຊັ່ນຫຼ້າສຸດນັບຕັ້ງແຕ່ເປີດໂຕ ຊຶ່ງສະແດງວ່າມີເວັບໄຊຈຳນວນເທົ່າກັນທີ່ຍັງໃຊ້ງານປັກອິນເວີຊັ່ນທີ່ມີຊ່ອງໂຫວ່ຢູ່.
ໃນປັດຈຸບັນ Wordfence ຍັງບໍ່ພົບສັນຍານຂອງການໂຈມຕີໂດຍໃຊ້ຊ່ອງໂຫວ່ນີ້ໃນວົງກວ້າງ ແຕ່ກໍ່ແນະນຳໃຫ້ອັບເດດແພັດ (Patch) ເນື່ອງຈາກມີການເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບຊ່ອງໂຫວ່ນີ້ອອກສູ່ສາທາລະນະແລ້ວ ຊຶ່ງອາດຈະດຶງດູດຄວາມສົນໃຈຂອງຜູ້ໂຈມຕີໄດ້.
ເອກະສານອ້າງອີງ:
- https://www.bleepingcomputer.com/news/security/wordpress-security-plugin-exposes-private-data-to-site-subscribers/
- https://www.i-secure.co.th/2025/11/%e0%b8%a3%e0%b8%b0%e0%b8%9a%e0%b8%9a-security-plugin-%e0%b8%82%e0%b8%ad%e0%b8%87-wordpress-%e0%b9%80%e0%b8%9b%e0%b8%b4%e0%b8%94%e0%b9%80%e0%b8%9c%e0%b8%a2%e0%b8%82%e0%b9%89%e0%b8%ad%e0%b8%a1%e0%b8%b9/