ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Plugin

ภาพรวมแท็กนี้

3 ข่าว

แบ็กดอร์โผล่ในปลั๊กอิน WordPress ARVE เวอร์ชัน 10.8.7 — โทเค็นลับตัวเดียวล็อกอินเป็นแอดมินได้ทันที Wordfence จับได้ใน 2 ชั่วโมง

Wordfence finds critical hardcoded backdoor in ARVE WordPress plugin version 10.8.7 tracked as CVE-2026-18072
ปลั๊กอิน WordPress ชื่อ Advanced Responsive Video Embedder (ARVE) ถูกฝังแบ็กดอร์ในเวอร์ชัน 10.8.7 เปิดทางให้ผู้ที่รู้โทเค็นลับล็อกอินเป็นแอดมินได้โดยไม่ต้องใช้รหัสผ่าน ระบบ PRISM ของ Wordfence ตรวจพบภายในไม่ถึง 2 ชั่วโมงหลังโค้ดถูกใส่เข้ามาเมื่อวันที่ 28 กรกฎาคม 2569 ช่องโหว่นี้ได้เลข CVE-2026-18072 ระดับวิกฤต CVSS 9.8 ขณะที่ WordPress.org ยืนยันว่าเวอร์ชันดังกล่าวยังไม่ถูกกระจายผ่านอัปเดตอัตโนมัติ
ที่มา: HackRead
อ่านต่อ →

CVE-2026-3300 — ช่องโหว่ RCE Critical (CVSS 9.8) ใน WordPress Plugin Everest Forms Pro ถูกโจมตีแล้วกว่า 29,000 ครั้ง

WordPress Everest Forms Pro CVE-2026-3300 RCE exploit
ช่องโหว่ CVE-2026-3300 (CVSS 9.8) ใน Everest Forms Pro plugin สำหรับ WordPress ซึ่งมีผู้ติดตั้งกว่า 4,000 ราย ถูกโจมตีจริงตั้งแต่วันที่ 13 เมษายน 2569 รวมกว่า 29,300 ครั้ง ช่องโหว่เกิดจากฟังก์ชัน process_filter() ที่นำค่าจากผู้ใช้ไปรันใน eval() โดยไม่กรองอักขระพิเศษ แฮ็กเกอร์สามารถสร้างบัญชี admin ปลอมและฝัง web shell ได้ ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ plugin นี้ควรอัปเดตเป็นเวอร์ชัน 1.9.13 โดยด่วน
ที่มา: The Hacker News
อ่านต่อ →

Avada Builder ปลั๊กอิน WordPress มีช่องโหว่ 2 ตัว — ขโมย Credentials จากเว็บไซต์กว่า 1 ล้านแห่งได้

Avada Builder WordPress Plugin Vulnerabilities
ปลั๊กอิน Avada Builder สำหรับ WordPress ที่ใช้งานกว่า 1 ล้านเว็บไซต์ พบช่องโหว่ 2 ตัว CVE-2026-4782 อ่านไฟล์ระบบได้โดยไม่ต้อง login และ CVE-2026-4798 (CVSS 7.5) ทำ SQL Injection ดึง password hashes จากฐานข้อมูลได้ ผู้โจมตีไม่จำเป็นต้องยืนยันตัวตน แพตช์แก้ไขอยู่ในเวอร์ชัน 3.15.3
ที่มา: BleepingComputer
อ่านต่อ →