មាននូវឯកសារថ្មីមួយ ដែលបង្ហាញពីវិធីសាស្ត្រក្នុងការវាយប្រហារ ឬក៏េហគចូលទៅកាន់វិបសាយដែលប្រើប្រាស់ WordPress ត្រូវបានបញ្ចេញជាសាធារណៈ នាពេលថ្មីៗនេះ។
ចំនុចខ្សោយដែលត្រូវបានស្គាល់ថា ជា Cross-Site Scripting (XSS) អាចអនុញ្ញាតឲ្យអ្នកវាយប្រហារធ្វើការគ្រប់គ្រងវិបសាយទាំងមូលតែម្តង ដោយធ្វើការផ្លាស់ប្តូរពាក្យសម្ងាត់ និងបង្កើតនូវគណនីថ្មីមួយ។
ចំនុចខ្សោយនេះត្រូវបានវាយប្រហារដោយជោគជ័យ ដោយសារតែការបញ្ចូលកូដទៅក្នុង comments section នៃវិបសាយ ហើយបន្ទាប់មកបន្ថែម នូវ text ជាច្រើន (ដែលច្រើនជាង 64KB)។ ជាធម្មតា WordPress មិនបានធ្វើការបញ្ចេញនូវ comment ទេ ដរាបណាទាល់តែវាត្រូវបានធ្វើការយល់ព្រម (approved)។ អ្នកវាយប្រហារអាចធ្វើការបន្លំដល់អភិបាលជាមួយនឹង comment ដំបូង ដែលអនុញ្ញាតឲ្យ comments បន្ទាប់ទៀតត្រូវបានយល់ព្រម ដោយស្វ័យប្រវតិ្ត (automatically approved)។
WordPress ជំនាន់ទី 3.9.3, 4.1.1, 4.1.2, and the latest version 4.2 គឺទទួលរងគ្រោះដោយសារបញ្ហានេះ។
អ្នកធ្វើការនៅក្រុមហ៊ុនសន្តិសុខ Klikki Oy ដែលមានមូលដ្ឋាននៅប្រទេស Finland លោក Jouko Pynnonen បានបញ្ចេញនូវបច្ចេកទេសលំអិត នៃការវាយប្រហារនេះ (proof-of-concept)។ គាត់បាននិយាយថា គាត់សម្រេចចិត្តបញ្ចេញនូវកំហុសឆ្គងមួយនេះ ដោយសារតែ WordPress បានធ្វើការបដិសេធន៍រាល់ការទាក់ទងរបស់គាត់ ដែលធ្វើឡើងចាប់តាំងពី ខែវិចិ្ឆកា ២០១៤។
វិធិសាស្ត្រការពារ
ដើម្បីការពារបញ្ហានេះ អភិបាលគ្រប់គ្រងវិបសាយគួតែធ្វើការបិទនូវ comments (អាចចូលទៅតាម Dashboard, Seetings/Discussion, Select as restrictive options as possible) ហើយមិនត្រូវធ្វើការយល់ព្រមទៅលើ comment ណាមួយឡើយ។
កាលពីថ្ងៃច័ន្ទកន្លងទៅនេះ ក្រុមហ៊ុន Klikki Oy បានឲ្យដឹងថា ការធ្វើបច្ចុប្បន្នភាពសន្តិសុខរបស់ WordPress 4.2.1 បានជួសជុលនូវកំហុសឆ្គងនេះ។
វិដេអូដែលបង្ហាញពីបច្ចេកទេសនៃការវាយប្រហារ
ព័ត៌មានបន្ថែម៖