Bài viết từ GBHackers thảo luận về một lỗ hổng bảo mật nghiêm trọng trong plugin Essential Addons for Elementor, hiện đang được cài đặt trên hơn 200k trang web WordPress. Lỗ hổng này, được theo dõi với mã CVE-2025-24752, cho phép kẻ tấn công thực hiện các cuộc tấn công tấn công phản chiếu Cross-Site Scripting (XSS) bằng cách khai thác việc không đủ vệ sinh đầu vào trong chức năng đặt lại mật khẩu của plugin.
Tổng quan về lỗ hổng
Lỗ hổng này xuất phát từ việc xử lý không đúng tham số truy vấn popup-selector trong mã JavaScript của plugin. Kẻ tấn công có thể tạo ra các URL chứa mã độc trong tham số này, được thực hiện khi người dùng không nghi ngờ nhấp vào liên kết. Loại tấn công XSS phản chiếu này cho phép đánh cắp phiên, chuyển hướng lừa đảo hoặc phân phối mã độc bằng cách khai thác lòng tin của trình duyệt người dùng vào trang web bị xâm nhập.
Mã bị ảnh hưởng
Mã dễ bị tổn thương nằm trong tệp src/js/view/general.js, cụ thể là đoạn nơi giá trị của popup-selector được lấy từ URL và chèn vào trang mà không xác thực hoặc thoát nội dung của nó. Ví dụ, một URL như https://victim-site.com/?popup-selector=<script>malicious-code</script> sẽ thực hiện payload.
Cánh chỉnh và giảm thiểu
Nhà phát triển plugin, WPDeveloper, đã phát hành phiên bản 6.0.15 để khắc phục lỗ hổng này bằng cách thực hiện việc xác thực đầu vào nghiêm ngặt. Mã đã được sửa đổi giới hạn các giá trị popup-selector chỉ cho phép ký tự alphanumeric và một số ký tự an toàn cụ thể, trung hòa các vector XSS. Mã đã được cập nhật bao gồm logic xác thực sau:
// Logic xác thực đã được chỉnh sửa
popupSelector = popupSelector.replace(/[^a-zA-Z0-9-_. ]/g, "");Quản trị viên WordPress được khuyến cáo ngay lập tức cập nhật lên ít nhất phiên bản 6.0.15 để giảm thiểu CVE-2025-24752. Những người không thể vá lỗ hổng nên xem xét việc vô hiệu hóa plugin cho đến khi cập nhật được áp dụng.
Khuyến nghị
Để bảo vệ chống lại các lỗ hổng như vậy, người dùng WordPress được khuyên nên:
- Kích hoạt tự động cập nhật cho các plugin và giao diện.
- Thực hiện kiểm tra bảo mật thường xuyên.
- Sử dụng các giao diện và plugin hợp pháp.
- Đặt mật khẩu phức tạp cho đăng nhập và kích hoạt xác thực hai yếu tố (2FA).
- Đảm bảo cài đặt chứng chỉ SSL để bảo mật các kết nối.
Ngữ cảnh bổ sung
Vụ việc này nhấn mạnh những rủi ro liên tục trong hệ sinh thái WordPress, nơi các plugin phổ biến trở thành mục tiêu có giá trị cao. Nhà nghiên cứu Sucuri Ben Martin ghi nhận, “Các lỗi XSS trong các plugin có hàng triệu người dùng có thể kích hoạt các chiến dịch xâm nhập hàng loạt. Việc vệ sinh đầu vào nghiêm ngặt là không thể thương lượng đối với các nhà phát triển plugin.”
