WPML 4.5.14 – Cải tiến bảo mật

Chúng tôi vừa phát hành WPML 4.5.14 với một cải tiến bảo mật nhỏ.

Vài tuần trước, chúng tôi đã nhận được các báo cáo về một thông báo bảo mật liên quan đến WPML. Thông báo này chỉ hiển thị trong bảng điều khiển Plesk và mô tả vấn đề là “lỗ hổng Cross-Site Request Forgery (CSRF)”. Chúng tôi rất biết ơn tất cả những người đã báo cáo điều này.

Cập nhật: sau khi phát hành WPML 4.5.14, chúng tôi đã nhận được báo cáo từ các khách hàng rằng phiên bản này đã khắc phục thành công thông báo bảo mật liên quan trong Plesk.

Khi nào lỗ hổng này xuất hiện

Vấn đề này cực kỳ khó bị khai thác và chỉ xảy ra trong những trường hợp rất cụ thể:

• Một người dùng có quyền admin nhấp vào một liên kết độc hại từ một trang web bên ngoài sử dụng cùng session/cookie của trình duyệt

…và một trong những điều sau đây cũng đúng:

• Máy chủ được cấu hình rõ ràng để cho phép Cross-Origin Resource Sharing (CORS) với miền mà kẻ tấn công sử dụng
• Người dùng bị ảnh hưởng đang sử dụng một trình duyệt bỏ qua các cài đặt CORS hoặc truyền thông tin cookie cho các yêu cầu không có chính sách cross-origin

Theo những gì chúng tôi biết, thực tế không có ai cấu hình trang web của họ theo cách này và không có ai bị ảnh hưởng bởi vấn đề này.

WPML 4.5.14 hiện đã ra mắt và giải quyết vấn đề này.

Tầm quan trọng của các báo cáo bảo mật

Chúng tôi nhận thức được tầm quan trọng của các báo cáo bảo mật và chúng tôi thường phản hồi ngay lập tức. Lần này, chúng tôi đã bị chệch hướng bởi các vấn đề liên quan đến WordPress 6.1 nên chúng tôi mất nhiều thời gian hơn bình thường để phản hồi.

Chúng tôi đang cải thiện quy trình làm việc của mình để đảm bảo ngay cả những báo cáo bảo mật nhỏ nhất cũng được điều tra, khắc phục và phát hành ngay lập tức.

Cách cập nhật lên WPML 4.5.14

Phiên bản phát hành này đang được tung ra dần dần. Nếu bạn muốn nhận nó ngay bây giờ, bạn có thể kiểm tra cập nhật thủ công. Để thực hiện việc này, hãy truy cập Plugin → Thêm mới và nhấp vào tab Thương mại. Sau đó, nhấp vào Kiểm tra cập nhật.

Bạn cũng có thể tải xuống trực tiếp từ tài khoản WPML của bạn.

Suy nghĩ, phản hồi?

Hãy sử dụng phần bình luận bên dưới để cho chúng tôi biết suy nghĩ của bạn về phiên bản phát hành này và chúng tôi sẽ trả lời.