พบบั๊ก SQL Injection บนปลั๊กอิน Ally กระทบเว็บไซต์ Wordpress กว่า 4 แสนเว็บไซต์

การยิงโค้ด SQL หรือ SQL Injection นั้นเรียกได้ว่าเป็นวิธีการแฮกเว็บไซต์แบบคลาสสิคที่ถึงแม้จะผ่านมานานนับสิบปีแล้ว ก็ยังมีช่องโหว่ให้แฮกเกอร์สามารถใช้งานวิธีนี้ได้อยู่เรื่อย ๆ

จากรายงานโดยเว็บไซต์ Security Affair ได้กล่าวถึงการตรวจพบช่องโหว่ความปลอดภัยบนปลั๊กอิน (Plug-In) ของ Wordpress ที่มีชื่อว่า Ally (หรือที่เคยใช้ชื่อว่า One Click Accessibility) โดยส่วนเสริมตัวนี้นั้นเดิมมีไว้เพื่อสร้างเว็บไซต์ให้คนพิการใช้งานได้ หรือเรียกว่าการใส่ฟีเจอร์ Accessibility ซึ่งปลั๊กอินตัวนี้จะมีฟีเจอร์ให้ใช้งานมากมายไม่ว่าจะเป็น ตัวสแกนเนอร์ (Scanner) ให้คนพิการใช้งานด้วยคำแนะนำของปัญญาประดิษฐ์ (AI Suggestion), วิดเจ็ต (Widget) ที่เป็นประโยชน์มากมาย เป็นต้น โดยปลั๊กอินตัวนี้เป็นที่นิยมมาก จากการที่มีเว็บไซต์ที่ใช้งานมากถึง 4 แสนเว็บไซต์เลยทีเดียว

ทว่าในช่วงเดือนกุมภาพันธ์ที่ผ่านมากนั้น ทางนักวิจัยรายหนึ่งจากบริษัท Acquia ซึ่งเป็นบริษัทผู้ให้บริการคลาวด์นั้น ได้ตรวจพบช่องโหว่ CVE-2026-2413 (มีคะแนน CVSS score ที่ 7.5) ซึ่งช่องโหว่นี้เป็นช่องโหว่ที่เกิดขึ้นจากการจัดการอย่างไม่ปลอดภัย (Insecure Handling) ในส่วนของการจัดการคำขอของผู้ติดตาม (Subscribers Query) โดยตัวปลั๊กอินนั้นจะทำการสร้าง SQL JOIN query ด้วยการใช้งาน URL Parameter ของหน้าแต่ไม่ได้ใช้งานฟังก์ชัน wpdb->prepare() ของ Wordpress ร่วมไปด้วย ซึ่งฟังก์ชันดังกล่าวนั้นจะทำหน้าที่ในการหลีกเลี่ยงอักขระพิเศษ และกำหนดมิเตอร์ให้กับ Query ต่าง ๆ ทำให้ถึงแม้จะใช้งานฟังก์ชัน esc_url_raw() ก็ตาม ก็จะไม่สามารถป้องกันการทำ SQL Injection ได้ นำไปสู่การใช้ SQL Injection เพื่อขโมยข้อมูลจากภายในฐานข้อมูลบนเว็บไซต์ได้ในที่สุด

แต่ก็มีข่าวดีคือ ช่องโหว่นี้นั้นได้ถูกแพทช์อย่างรวดเร็วหลังจากที่ทาง Wordfence บริษัทผู้พัฒนาปลั๊กอินด้านการรักษาความปลอดภัยบนเว็บไซต์ Wordpress นั้นได้จัดโครงการ Wordfence Bug Bounty Program สำหรับการล่าบั๊ก และได้รับรายงานบั๊กดังกล่าวจากนักวิจัยรายดังกล่าว พร้อมทั้งให้เงินรางวัลสำหรับบั๊กนี้ไป 800 ดอลลาร์สหรัฐ (26,143.60 บาท) ก็ได้ทำการรายงานให้กับทาง Elementor ซึ่งเป็นผู้พัฒนาปลั๊กอินตัวดังกล่าวในวันที่ 13 กุมภาพันธ์ในทันที ซึ่งทางทีมพัฒนาก็ได้ตอบกลับรับทราบในวันที่ 15 พร้อมทั้งออกแพทช์ในวันที่ 23 ในเดือนเดียวกัน

ซึ่งช่องโหว่นี้จะส่งผลกระทบกับปลั๊กอิน Ally ทุกรุ่นถึงรุ่น 4.0.3 โดยผู้ใช้งานสามารถอุดช่องโหว่นี้ได้เพียงแค่อัปเกรดขึ้นเป็นรุ่น 4.1.0 ดังนั้น ขอให้ผู้ดูแลเว็บไซต์ที่มีการใช้งานปลั๊กอินดังกล่าว ทำการอัปเดตขึ้นเป็นรุ่นล่าสุดในทันที