<h2>ข้อมูลทั่วไป</h2>
เมื่อวันที่ 21 มีนาคม 2562 นักวิจัยด้านความมั่นคงปลอดภัยได้รายงานช่องโหว่ Cross-Site Scripting (XSS) ในปลั๊กอิน Social Warfare บน WordPress ซึ่งเป็นปลั๊กอินที่ใช้สำหรับแชร์เนื้อหาไปยังโซเชียลมีเดีย จากข้อมูลในหน้าดาวน์โหลดพบว่าเว็บไซต์ที่ใช้งานปลั๊กอินนี้มีมากกว่า 70,000 แห่ง <a href="https://www.thaicert.or.th/alerts/admin/2019/al2019ad002.html?fbclid=IwAR32RD7n66AwxMyYOZ5MCN-elMnAGL1R6XFivbxxZuJn5WW5olXV1_YLkCY#1">[1]</a> ช่องโหว่ XSS เปิดโอกาสให้ผู้ไม่หวังดีสามารถแทรกโค้ดอันตรายเข้าไปในหน้าเว็บไซต์ได้ ซึ่งอาจเป็นการแก้ไขการแดสงผลหน้าเว็บไซต์ ใส่โค้ด JavaScript สำหรับดักขโมยข้อมูล หรือแทรกโค้ดสำหรับโจมตีช่องโหว่ของเบราว์เซอร์หรือซอฟต์แวร์ในเครื่องได้

ช่องโหว่ของปลั๊กอิน Social Warfare เกิดจากตัวปลั๊กอินอนุญาตให้แก้ไขการตั้งค่าโดยดึงข้อมูลมาจากแหล่งภายนอกได้ ซึ่งการแก้ไขการตั้งค่านี้สามารถทำได้โดยไม่จำเป็นต้องมีสิทธิ์ของผู้ดูแลระบบ ช่องโหว่ดังกล่าวส่งผลให้ผู้ประสงค์ร้ายสามารถสั่งให้ตัวปลั๊กอินไปดึงโค้ดอันตรายจากเว็บไซต์อื่นมาใส่ในเว็บไซต์ปลายทางได้ ทำให้ผู้ที่เข้าเยี่ยมชมเว็บไซต์ดังกล่าวมีความเสี่ยงถูกโจมตี

นักวิจัยพบการโจมตีผ่านช่องโหว่นี้แล้ว โดยผู้ไม่หวังดีได้แทรกโค้ดสำหรับเปลี่ยนเส้นทางการเยี่ยมชมเว็บไซต์ไปยังเว็บอันตรายเพื่อขโมยข้อมูลและติดตามพฤติกรรมการใช้งานผ่านคุกกี้ของเบราว์เซอร์ <a href="https://www.thaicert.or.th/alerts/admin/2019/al2019ad002.html?fbclid=IwAR32RD7n66AwxMyYOZ5MCN-elMnAGL1R6XFivbxxZuJn5WW5olXV1_YLkCY#2">[2]</a>
<h2>ผลกระทบ</h2>
เว็บไซต์ที่ใช้งาน WordPress และติดตั้งปลั๊กอิน Social Warfare เวอร์ชัน 3.5.1 และ 3.5.2 อาจถูกแทรกโค้ดแก้ไขการทำงานของเว็บไซต์

ผู้ที่เข้าเยี่ยมชมเว็บไซต์ที่มีช่องโหว่อาจถูกขโมยข้อมูลหรือถูกติดตามการใช้งานเบราว์เซอร์ นอกจากนี้ มีความเป็นไปได้ว่าผู้ไม่หวังดีอาจใช้ช่องโหว่นี้ในการแทรกโค้ดอันตรายอื่นๆ เพื่อโจมตีช่องโหว่ของเบราว์เซอร์หรือซอฟต์แวร์ในเครื่องด้วย
<h2>ระบบที่ได้รับผลกระทบ</h2>
เว็บไซต์ที่ใช้งาน WordPress และติดตั้งปลั๊กอิน Social Warfare เวอร์ชัน 3.5.1 และ 3.5.2
<h2>ข้อแนะนำในการป้องกันและแก้ไข</h2>
ผู้ดูแลเว็บไซต์ที่ใช้ WordPress และติดตั้งปลั๊กอิน Social Warfare ควรอัปเดตให้เป็นเวอร์ชัน 3.5.3 ซึ่งได้รับการแก้ไขช่องโหว่ดังกล่าวแล้ว

หากยังไม่สามารถอัปเดตได้ อาจพิจารณาหยุดใช้งานปลั๊กอิน Social Warfare เป็นการชั่วคราวจนกว่าจะสามารถแก้ไขปัญหาได้ เพื่อลดความเสี่ยงและผลกระทบจากช่องโหว่ <a href="https://www.thaicert.or.th/alerts/admin/2019/al2019ad002.html?fbclid=IwAR32RD7n66AwxMyYOZ5MCN-elMnAGL1R6XFivbxxZuJn5WW5olXV1_YLkCY#3">[3]</a>
<h2>อ้างอิง</h2>
<ol>
 	<li><a href="https://wordpress.org/plugins/social-warfare/" name="1">https://wordpress.org/plugins/social-warfare/</a></li>
 	<li><a href="https://www.wordfence.com/blog/2019/03/social-warfare-plugin-zero-day-details-and-attack-data/" name="2">https://www.wordfence.com/blog/2019/03/social-warfare-plugin-zero-day-details-and-attack-data/</a></li>
 	<li><a href="https://www.bleepingcomputer.com/news/security/zero-day-wordpress-plugin-vulnerability-used-to-add-malicious-redirects/" name="3">https://www.bleepingcomputer.com/news/security/zero-day-wordpress-plugin-vulnerability-used-to-add-malicious-redirects/</a></li>
</ol>
<strong>ที่มา</strong> : <a href="https://www.thaicert.or.th/alerts/admin/2019/al2019ad002.html?fbclid=IwAR32RD7n66AwxMyYOZ5MCN-elMnAGL1R6XFivbxxZuJn5WW5olXV1_YLkCY">ThaiCERT</a>