Blind SQL Injection trong Link Whisper INC Link Whisper Free có thể làm lộ dữ liệu WordPress

Lỗ hổng xử lý không đúng việc trung hòa các phần tử đặc biệt được sử dụng trong câu lệnh SQL ('SQL Injection') trong Link Whisper Free link-whisper của Link Whisper INC cho phép Blind SQL Injection. Vấn đề này ảnh hưởng đến Link Whisper Free: từ n/a đến 0.9.7.

• Link Whisper INC Link Whisper Free, package WordPress link-whisper.
• Version 0 đến 0.9.7: được đánh dấu là affected trong structured record. Package có default_status là unaffected, còn range được liệt kê là affected.
• Version 0.9.8: được ghi nhận là unaffected trong change record và là release đã sửa được nêu trong advisory.
• Source description ghi phạm vi là from n/a through 0.9.7. Bản ghi không xác lập thêm affected branch nào khác, và trạng thái của các branch song song hoặc version mới hơn chưa được xác nhận độc lập.

Lỗ hổng được phân loại là CWE-89, trong đó dữ liệu do kẻ tấn công kiểm soát không được trung hòa đúng cách trước khi được sử dụng trong câu lệnh SQL. Bản ghi mô tả đây là Blind SQL Injection trong package link-whisper của Link Whisper Free. Các đặc tính tấn công được cung cấp cho thấy chức năng dễ bị lỗi có thể được tiếp cận qua mạng, không yêu cầu xác thực hoặc tương tác của người dùng và có độ phức tạp thấp. Bản ghi không nêu endpoint, tham số request, câu truy vấn, database engine hoặc code path cụ thể, vì vậy injection point và cách dữ liệu được truy xuất vẫn chưa được xác định. Phạm vi trong bản đánh giá được đánh dấu là đã thay đổi, cho thấy hậu quả có thể vượt ra ngoài boundary bảo mật trực tiếp của plugin, nhưng boundary cụ thể không được công bố.

• Có thể tiếp cận qua mạng theo bản ghi đánh giá.
• Không yêu cầu xác thực và không yêu cầu tương tác của người dùng; độ phức tạp được đánh giá là thấp.
• Bản ghi không đánh dấu lỗ hổng là đã bị khai thác và không xác định public exploit. Trường known_exploited cũng không cung cấp xác nhận khai thác thực tế.
• Bản ghi có phần CISA enrichment đánh dấu trạng thái khai thác là none và khả năng tự động hóa là yes. Đây là trạng thái đánh giá tại nguồn, không chứng minh rằng việc khai thác là không thể.
• Không có exploit, chiến dịch, nạn nhân, breach hoặc IOC cụ thể nào được nêu.

Blind SQL Injection có thể cho phép kẻ tấn công suy luận thông tin database thông qua hành vi của truy vấn, từ đó có khả năng làm lộ dữ liệu WordPress hoặc dữ liệu riêng tư khác được plugin truy cập. Bản đánh giá được cung cấp cho thấy confidentiality impact cao, availability impact thấp và không ghi nhận integrity impact, nhưng đây là đặc tính đánh giá chứ không phải bằng chứng về một sự cố đã xảy ra. Hậu quả tổ chức có thể gồm phơi lộ dữ liệu, yêu cầu điều tra và suy giảm dịch vụ do hoạt động database bất thường. Dữ liệu cụ thể có thể truy cập và mức độ ảnh hưởng thực tế phụ thuộc vào query context cùng quyền của database, những chi tiết chưa được công bố.

• Một cuộc tấn công thành công có thể làm lộ thông tin trong database WordPress, bao gồm dữ liệu tài khoản hoặc nội dung riêng tư nếu các dữ liệu đó nằm trong phạm vi truy vấn.
• Hoạt động truy vấn SQL bất thường có thể làm tăng tải database hoặc gây suy giảm dịch vụ.
• Do có khả năng ảnh hưởng đến dữ liệu nhạy cảm, tổ chức nên ưu tiên kiểm tra inventory, cập nhật plugin và rà soát telemetry trên các site bị ảnh hưởng.
• Bản ghi không xác nhận breach, mất dữ liệu hoặc gián đoạn dịch vụ đã xảy ra.

1. Cập nhật Link Whisper Free lên version mới nhất có sẵn, với 0.9.8 là version tối thiểu được bản ghi nêu rõ. Xác nhận version thực tế sau khi cập nhật thay vì chỉ dựa vào trạng thái update của WordPress.
2. Nếu chưa thể cập nhật, kiểm tra khả năng bật rule mitigation của Patchstack cho deployment đang vận hành. Đây chỉ nên là biện pháp tạm thời trong khi hoàn tất cập nhật; phạm vi bảo vệ của rule cần được xác nhận trên hệ thống cụ thể.
3. Kiểm tra lại toàn bộ WordPress site và staging environment để tránh còn package link-whisper ở version affected.
4. Rà soát log và database telemetry trong thời gian các version affected còn hoạt động. Nếu phát hiện dấu hiệu truy vấn bất thường, áp dụng quy trình xử lý sự cố của tổ chức vì bản ghi không cung cấp IOC cụ thể.

1. Kiểm kê mọi WordPress site có cài Link Whisper Free và xác định package link-whisper cùng version thực tế.
2. Đánh dấu các bản cài từ 0 đến 0.9.7 để xử lý ưu tiên và xác nhận các bản đã cập nhật đạt 0.9.8 theo thông tin fix được cung cấp.
3. Rà soát web server, WAF và database telemetry để tìm request bất thường hoặc lỗi SQL liên quan đến hoạt động của plugin. Đây là biện pháp monitoring phòng ngừa, vì bản ghi không cung cấp endpoint, log event hoặc IOC cụ thể.
4. Nếu đang dùng rule mitigation của Patchstack, kiểm tra rule đã được bật và áp dụng đúng cho các site bị ảnh hưởng.
5. Không coi việc không tìm thấy log đáng ngờ là bằng chứng rằng site an toàn; cần xác nhận bằng inventory và version.