Theo The Hacker News, lỗ hổng này được mã hóa với mã CVE-2023-3460 (điểm CVSS 9,8) và tồn tại trong tất cả các phiên bản của plugin Ultimate Member trên WordPress, bao gồm phiên bản mới nhất (2.6.6) đã được phát hành vào ngày 29/06/2023.
Ultimate Member là một plugin phổ biến dùng để tạo hồ sơ người dùng và cộng đồng trên các trang web WordPress. Plugin này cũng cung cấp các tính năng quản lý tài khoản cho người dùng.
Công ty bảo mật WordPress, WPScan, đã chỉ ra rằng lỗ hổng này rất nghiêm trọng và cho phép các kẻ tấn công khai thác để tạo ra các tài khoản người dùng mới với quyền quản trị, từ đó chiếm quyền kiểm soát hoàn toàn trên các trang web bị ảnh hưởng.
Chi tiết về lỗ hổng đã được giữ bí mật để tránh việc lạm dụng. Chuyên gia bảo mật từ Wordfence đã mô tả rằng, mặc dù plugin có một danh sách các từ cấm, người dùng không thể cập nhật, nhưng vẫn có cách đơn giản để đánh lừa các bộ lọc này, chẳng hạn như sử dụng ký tự gạch chéo hoặc mã hóa giá trị được cung cấp trong các phiên bản của plugin.
Lỗ hổng bảo mật này được công bố sau khi có báo cáo về việc tạo tài khoản giả mạo quản trị viên trên các trang web bị ảnh hưởng. Điều này đã khiến cho các nhà phát triển plugin phát hành các bản vá một phần cho các phiên bản 2.6.4, 2.6.5 và 2.6.6. Dự kiến sẽ có một bản cập nhật hoàn chỉnh sẽ được phát hành trong thời gian tới.
Ultimate Member đã thông báo rằng trong phiên bản mới được phát hành, lỗ hổng leo thang đặc quyền có thể được khai thác thông qua UM Forms, cho phép người lạ tạo người dùng WordPress với quyền quản trị viên. Tuy nhiên, WPScan chỉ ra rằng các bản vá hiện tại vẫn chưa hoàn chỉnh và đã tìm thấy nhiều cách để vượt qua chúng, tức là lỗ hổng này vẫn có thể bị khai thác.
Các kẻ tấn công WordPress đang sử dụng lỗ hổng này để đăng ký các tài khoản mới với các tên như apads, se_brutal, segs_brutal, wpadmins, wpengine_backup và wpenginer, sau đó tải lên các plugin và chủ đề độc hại thông qua bảng quản trị trang web. Người dùng Ultimate Member nên tạm thời vô hiệu hóa plugin này cho đến khi có bản vá bảo mật đầy đủ.
