เมื่อสัปดาห์ที่แล้ว เราได้เปิดตัว WPML 4.6.13 และ WooCommerce Multilingual 5.3.7 เพื่อแก้ไขปัญหาความปลอดภัยที่รายงานโดย Wordfence เราต้องการแบ่งปันรายละเอียดเพิ่มเติมเกี่ยวกับการแก้ไขนี้และความหมายต่อความปลอดภัยของเว็บไซต์ของคุณ
ลำดับเหตุการณ์
ที่ WPML ความปลอดภัยเป็นสิ่งสำคัญสูงสุดของเรา และเรามุ่งมั่นที่จะทำให้เว็บไซต์ของคุณปลอดภัยและมั่นคง สำหรับการแก้ไขครั้งนี้ เราได้ร่วมมือกับ Wordfence ซึ่งเป็นหนึ่งในชื่อที่ได้รับความเคารพมากที่สุดในชุมชนความปลอดภัย WordPress
Wordfence ได้ติดต่อเราเกี่ยวกับปัญหาของ WPML ในเดือนกรกฎาคม แต่น่าเสียดายที่ข้อความนั้นตกอยู่ในโฟลเดอร์สแปมและไม่ได้รับการสังเกตเป็นเวลาพักหนึ่ง โชคดีที่พวกเขาส่งอีเมลติดตามมาในเดือนสิงหาคม และเราได้ดำเนินการจากตรงนั้น แก้ไขช่องโหว่ทันทีและจัดเตรียมเวอร์ชันที่แก้ไขแล้วให้ Wordfence ตรวจสอบ
ด้วยความเป็นพันธมิตรที่ยอดเยี่ยมและผู้เชี่ยวชาญ Wordfence ได้รายงานช่องโหว่ XSS เล็กน้อยอีกจุดหนึ่งในระหว่างกระบวนการซึ่งเราได้แก้ไขทันทีเช่นกัน
ในระหว่างนี้ เรายังได้รับรายงานจาก Patchstack เกี่ยวกับช่องโหว่ที่คล้ายกันใน WooCommerce Multilingual
หลังจากได้รับการยืนยันจากพวกเขาว่าการแก้ไขผ่านการตรวจสอบทั้งหมดแล้ว เราได้เปิดตัว WPML 4.6.13 และ WooCommerce 5.3.7 ในวันที่ 20 สิงหาคม
บทบาทสำคัญของ Wordfence
เราขอใช้โอกาสนี้ขอบคุณ Wordfence สำหรับความช่วยเหลืออันยอดเยี่ยมในการระบุและแก้ไขช่องโหว่เหล่านี้ ความสำคัญของงานของพวกเขาต่อเราและระบบนิเวศ WordPress ทั้งหมดนั้นไม่สามารถประเมินค่าได้
ความขยันขันแข็งของพวกเขาในการติดตามรายงานเบื้องต้นและการร่วมมือตลอดกระบวนการแก้ไขเป็นการแสดงให้เห็นถึงความมุ่งมั่นของพวกเขาต่อชุมชน WordPress
ช่องโหว่นี้ทำงานอย่างไรและหมายความว่าอย่างไรสำหรับคุณ
บทความออนไลน์บางฉบับได้อธิบายปัญหานี้ว่าเป็น “ช่องโหว่ร้ายแรง” ที่ส่งผลกระทบต่อเว็บไซต์มากกว่าหนึ่งล้านเว็บไซต์ แม้ว่าเราจะเห็นด้วยอย่างยิ่งว่าความปลอดภัยเป็นเรื่องสำคัญ แต่สำคัญที่จะต้องอธิบายให้ชัดเจนว่าช่องโหว่นี้ทำงานอย่างไรในสถานการณ์จริง
ช่องโหว่นี้ต้องการให้ผู้ไม่ประสงค์ดีมีสิทธิ์ในการแก้ไขบนเว็บไซต์ WordPress นั่นหมายความว่าพวกเขาต้องมีบทบาทผู้ใช้ระดับผู้มีส่วนร่วมหรือสูงกว่าบนเว็บไซต์ที่เป็นเป้าหมาย
กล่าวคือ ความรุนแรงขึ้นอยู่กับประเภทของผู้ใช้ที่คุณมีบนเว็บไซต์ของคุณ หากคุณและทีมของคุณเป็นผู้ดูแลระบบ/นักเขียน/บรรณาธิการเพียงคนเดียวบนเว็บไซต์ จะไม่มีใครนอกเหนือจากคุณหรือทีมของคุณที่สามารถใช้ประโยชน์จากช่องโหว่นี้ได้
ในทางกลับกัน หากคุณกำลังดูแลเว็บไซต์ที่มีผู้ใช้ที่มีสิทธิ์ระดับผู้มีส่วนร่วมและคุณไม่รู้จักบุคคลเหล่านี้เป็นการส่วนตัว คุณอาจมีความเสี่ยงมากขึ้น
ท้ายที่สุด เราต้องการเน้นย้ำว่าไม่มีจุดใดที่ผู้ใช้ WPML ส่วนใหญ่มีความเสี่ยง การแก้ไขได้รับการพัฒนา ทดสอบ และเปิดตัวโดยร่วมมือกับ Wordfence อย่างใกล้ชิด และปัญหาได้รับการแก้ไขอย่างสมบูรณ์แล้ว
เช่นเคย เราขอแนะนำอย่างยิ่งให้คุณอัปเดต WPML และ WooCommerce Multilingual บนเว็บไซต์ของคุณให้เป็นเวอร์ชันล่าสุดอยู่เสมอ
ในกรณีที่มีข้อกังวลใดๆ
สำหรับผู้ใช้และพันธมิตรของเราที่อาจกังวลเกี่ยวกับรายงานล่าสุด เราต้องการยืนยันว่าไม่มีเหตุให้ต้องตื่นตระหนก ปัญหาได้รับการแก้ไขอย่างรวดเร็วและมีประสิทธิภาพ และไม่มีหลักฐานว่ามีการใช้ประโยชน์จากช่องโหว่นี้ในโลกออนไลน์
หากคุณมีคำถามหรือข้อกังวลใดๆ โปรดติดต่อเรา
เรายังคงมุ่งมั่นในการรักษาความปลอดภัยของเว็บไซต์ของคุณและการร่วมมืออย่างต่อเนื่องกับ Wordfence และผู้เชี่ยวชาญด้านความปลอดภัยอื่นๆ
ขอบคุณสำหรับความไว้วางใจในที่มีต่อ WPML อย่างต่อเนื่อง
ทีม WPML