สรุปข้อมูล

พบช่องโหว่ร้ายแรง CVE-2025-22777 ที่อาจส่งผลกระทบต่อผู้ใช้งาน WordPress ที่ใช้ปลั๊กอิน GiveWP ซึ่งเป็นปลั๊กอินยอดนิยมสำหรับการบริจาคและระดมทุนออนไลน์ โดยช่องโหว่นี้มีคะแนน CVSS ที่ 9.8 และเกิดจากการ PHP Object Injection ที่ไม่ต้องมีการยืนยันตัวตน ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่นี้เพื่อข้ามการป้องกันความปลอดภัยควบคุมเว็บไซต์ WordPress ได้อย่างสมบูรณ์ ลบไฟล์สำคัญ และรันโค้ดจากระยะไกล (RCE) และช่องโหว่นี้ยังมีความเชื่อมโยงกับ CVE-2024-5932 ซึ่งเกี่ยวข้องกับการตรวจสอบพารามิเตอร์ฟอร์มที่ไม่ถูกต้อง เช่น give-form-title แม้จะแก้ไขในเวอร์ชัน 3.14.2 แล้ว แต่ regex validation ยังสามารถถูก bypass ได้

รายละเอียดเชิงเทคนิค

CVE-2025-22777 เป็นช่องโหว่ประเภท PHP Object Injection ซึ่งเปิดให้ผู้โจมตีสามารถรันโค้ดที่เป็นอันตรายบนเว็บไซต์ WordPress ได้โดยไม่ต้องยืนยันตัวตน ช่องโหว่นี้เกิดจากการจัดเก็บข้อมูล metadata ในฐานข้อมูลที่ไม่มีความปลอดภัย

• ผู้โจมตีมุ่งเป้าฟิลด์ company ในฟอร์มบริจาค เพื่อใส่ payload ที่เป็นอันตราย
• Payload ถูกออกแบบให้ผ่านการตรวจสอบ regex validation ที่อ่อนแอในระบบ
• Payload ที่ผ่านการตรวจสอบจะถูกเก็บเป็น metadata ในฐานข้อมูลของเว็บไซต์
• เมื่อระบบทำการ deserialize metadata โค้ดอันตรายใน payload จะถูกรันบนเซิร์ฟเวอร์
• Payload สามารถลบไฟล์สำคัญ เช่น wp-config.php และเปิดโอกาสให้ควบคุมเว็บไซต์ทั้งหมด

เวอร์ชันที่ได้รับผลกระทบ

ผลกระทบจากการโจมตี

ผลกระทบจากการช่องโหว่ CVE-2025-22777 เป็นช่องโหว่ที่อันตรายใน WordPress ซึ่งผู้โจมตีสามารถใส่โค้ดอันตรายลงในฟอร์มบริจาคโดยไม่ต้องล็อกอิน เมื่อโค้ดนั้นถูกเก็บไว้ในฐานข้อมูลและถูกรันในภายหลัง ผู้โจมตีอาจสามารถลบไฟล์สำคัญ เช่น wp-config.php หรือเข้าควบคุมเว็บไซต์ทั้งหมดได้ ทำให้เว็บไซต์เสี่ยงต่อการถูกโจมตี

สรุปการโจมตี

การโจมตี CVE-2025-22777 ในปลั๊กอิน GiveWP เริ่มต้นจากผู้โจมตีส่ง payload ที่มีโค้ดอันตรายผ่านฟิลด์ company ในฟอร์มบริจาค Payload นี้ถูกออกแบบมาเพื่อหลอก regex validation และถูกเก็บในฐานข้อมูลเป็น metadata เมื่อระบบทำการ deserialize metadata โค้ดอันตรายจะถูกรัน ผู้โจมตีสามารถลบไฟล์สำคัญ เช่น wp-config.php เปิดทางให้เข้าควบคุมเว็บไซต์ทั้งหมด และอาจรันโค้ดอันตรายเพิ่มเติมหรือปล่อยมัลแวร์เพื่อโจมตีเป้าหมายอื่น ทั้งหมดนี้สามารถทำได้โดยไม่ต้องมีการยืนยันตัวตนของผู้โจมตี

คำแนะนำ

• อัปเดต GiveWP เป็นเวอร์ชัน 3.19.4 หรือสูงกว่าโดยทันที
• ใช้ Web Application Firewall (WAF) เพื่อปิดกั้น payload ที่น่าสงสัย
• จำกัดสิทธิ์ในการเข้าถึงหรือแก้ไขไฟล์สำคัญ เช่น เช่น wp-config.php
• พิจารณาการการตั้งค่าไฟร์วอลล์และระบบตรวจจับการบุกรุกเพิ่มเติม
• สำรองข้อมูลเว็บไซต์และฐานข้อมูลอย่างสม่ำเสมอ

แหล่งอ้างอิง

hxxps://securityonline[.]info/cve-2025-22777-cvss-9-8-critical-security-alert-for-givewp-plugin-with-100000-active-installations/#google_vignette