Từ ngày 30 tháng 10 đến ngày 1 tháng 11 năm 2026, năm lỗ hổng trong ba plugin WordPress đã đi qua quy trình công bố thường thấy: WPScan đăng thông báo ngày 30 tháng 10, sau đó Patchstack lập chỉ mục ngày 1 tháng 11. Đây không phải cùng một loại lỗi. Nhóm này gồm lỗi lộ thông tin, lỗi thiếu kiểm tra quyền cho phép lạm dụng gửi email, và lỗi mã kịch bản liên trang được lưu lại (stored XSS), vốn là lỗi thoát ký tự ở đầu ra chứ không phải lỗi kiểm soát truy cập. Bài tổng hợp này xét từng sản phẩm riêng, với phạm vi áp dụng, hành động và nguồn của riêng nó. Thông tin được kiểm tra tính đến ngày 2 tháng 11 năm 2026.
Một điểm cần nói rõ trước khi vào chi tiết. Đây là những nhu cầu cập nhật có điều kiện. Một website chỉ bị ảnh hưởng nếu đang chạy một trong các plugin nêu tên ở phiên bản thấp hơn bản đã sửa. Các thông báo không cho thấy có website WordPress nào đã bị xâm nhập, và cũng không khẳng định điều ngược lại.
MapPress
Áp dụng cho: plugin có slug mappress-google-maps-for-wordpress, các phiên bản thấp hơn 2.97.15. Đã sửa ở 2.97.15.
Thông báo cho biết điều gì: CVE-2026-118168 là lỗi lộ thông tin không cần đăng nhập. Một trình xử lý nhúng bản đồ ở giao diện người xem có thể bị dùng để liệt kê ID người dùng và trả về địa chỉ email cùng tên hiển thị của từng người. Không cần tài khoản. Thông báo của WPScan được đăng và cập nhật lần cuối ngày 30 tháng 10 năm 2026, ghi công cho vuxvinh. Nhật ký thay đổi của plugin ở bản 2.97.15 mô tả việc sửa lỗi lộ thông tin người dùng qua URL nhúng bản đồ và bỏ email khỏi cửa sổ bật lên tổng hợp người dùng.
Hành động: cập nhật lên 2.97.15 hoặc mới hơn, rồi mở một trang có bản đồ liên hệ hoặc vị trí để xác nhận bản đồ vẫn hiển thị. Dữ liệu bị lộ là địa chỉ email và tên hiển thị. Thông báo không mô tả việc lộ mật khẩu hay dữ liệu thanh toán.
Kali Forms
Áp dụng cho: plugin có slug kali-forms, các phiên bản thấp hơn 2.4.30 đối với cả hai CVE. Đã sửa ở 2.4.30.
Thông báo cho biết điều gì: cả hai lỗi đều cần một tài khoản đã đăng nhập từ cấp Subscriber (người đăng ký) trở lên. Việc một khách vãng lai gửi biểu mẫu liên hệ công khai thì chưa đủ. Vì vậy, các website cho phép đăng ký tự do nên xem đây là ưu tiên cao hơn.
- CVE-2026-107343: trình xử lý gửi email thử nghiệm thiếu bước kiểm tra quyền, và mã nonce mà nó yêu cầu lại có sẵn cho mọi người dùng đã đăng nhập. Một Subscriber có thể gửi email tới người nhận tùy ý với địa chỉ người gửi giả mạo. Thông báo của WPScan, đăng ngày 30 tháng 10, ghi công cho Sai Praneeth Koti.
- CVE-2026-107342: trong cùng điều kiện đó, plugin có thể để lộ địa chỉ email của người dùng đã đăng ký, bao gồm cả quản trị viên. Thông báo của WPScan, đăng ngày 30 tháng 10, ghi công cho Usama Arshad.
Nhật ký thay đổi của nhà phát triển xác nhận bản 2.4.30 giới hạn email thử nghiệm chỉ cho quản trị viên và địa chỉ hợp lệ. Bản hiện tại, 2.4.31, còn sửa một lỗi liên quan đến việc quản trị viên mở phần cài đặt và mục dữ liệu biểu mẫu, đồng thời giới hạn dữ liệu biểu mẫu chỉ cho quản trị viên.
Hành động: 2.4.30 là mức tối thiểu về bảo mật. Chúng tôi khuyên chuyển lên 2.4.31 hoặc mới hơn để nhận cả các bản sửa dành cho quản trị viên. Sau khi cập nhật, hãy gửi một biểu mẫu thật và xác nhận thông báo đến đúng nơi, rồi mở phần cài đặt plugin bằng tài khoản quản trị. Là một bước kiểm tra thực tế, hãy xem lại nhật ký gửi thư và rà soát những tài khoản hoặc quyền truy cập không còn cần thiết theo quy trình riêng của bạn. Hãy coi đây là việc dọn dẹp định kỳ, không phải bằng chứng đã có lạm dụng. Các thông báo không nói đến việc vượt qua SPF hay DKIM.
Media Library Assistant
Áp dụng cho: plugin có slug media-library-assistant, các phiên bản thấp hơn 3.44 đối với cả hai CVE. Đã sửa ở 3.44.
Thông báo cho biết điều gì:
- CVE-2026-113482: người dùng cấp Contributor (cộng tác viên) trở lên có thể lưu mã kịch bản liên trang (stored XSS) qua thuộc tính shortcode
mla_item_parameter. Giá trị của thuộc tính này được in ra, không qua thoát ký tự, vào một thuộc tính liên kết do plugin tạo ra. Thông báo của WPScan. - CVE-2026-113481: người dùng cấp Subscriber trở lên có thể biết các thuật ngữ phân loại được gán cho bài viết và tệp đính kèm ở chế độ riêng tư, vì trình xử lý không kiểm tra quyền xem. Phạm vi chỉ giới hạn ở việc gán thuật ngữ phân loại. Thông báo không mô tả việc tải về tệp riêng tư, đọc nội dung bài viết hay lộ toàn bộ siêu dữ liệu. Thông báo của WPScan.
Cả hai thông báo đều đăng ngày 30 tháng 10 và ghi công cho Karthik Ramakrishnan. Nhật ký thay đổi của nhà phát triển ở bản 3.44 xác nhận các bản sửa cho stored XSS và lộ thông tin, cùng những sửa lỗi khác nằm ngoài phạm vi bài này.
Hành động: cập nhật lên 3.44 hoặc mới hơn, rồi kiểm tra thư viện ảnh và danh sách tệp phương tiện. Xem lại những tài khoản đang giữ vai trò Contributor hoặc Subscriber và liệu mỗi tài khoản còn thực sự cần vai trò đó không.
Danh sách kiểm tra thực tế cho chủ website và nhà cung cấp
Đây là các bước kiểm tra thực tế, không phải yêu cầu từ nhà phát triển.
- Kiểm kê những gì đang thực sự được cài: slug và phiên bản chính xác của plugin, trên từng website bạn quản lý.
- Sao lưu cơ sở dữ liệu và tệp trước khi thay đổi bất cứ điều gì.
- Dùng quy trình thử nghiệm hoặc bảo trì thường lệ của bạn, ví dụ bản sao thử nghiệm, nếu có.
- Khi plugin và phiên bản khớp với mô tả đang được dùng, hãy cập nhật sản phẩm đó như hướng dẫn ở trên. Việc này không thay thế lịch cập nhật thường lệ cho các plugin, giao diện và lõi WordPress khác.
- Xác nhận phiên bản đã triển khai, rồi kiểm tra các trang, biểu mẫu, thư viện ảnh và việc gửi thư liên quan.
- Nếu có gì bất thường, hãy xem xét: tài khoản lạ, thư gửi đi mà bạn không gửi, hoặc mã kịch bản không quen trong nội dung. Hãy chuyển lên cấp xử lý cao hơn khi thấy hoạt động tài khoản, thư hoặc mã kịch bản bất thường, thay vì cho rằng bản cập nhật đã giải quyết xong.
Ý nghĩa đối với doanh nghiệp
Nếu địa chỉ email của nhân viên bị lộ, chúng có thể bị dùng cho các chiến dịch lừa đảo nhắm vào đội ngũ của bạn, và địa chỉ của quản trị viên là mục tiêu đặc biệt có giá trị. Nếu một tài khoản đã đăng nhập ở cấp thấp có thể gửi thư giả mạo qua plugin biểu mẫu, những thư trông như đến từ doanh nghiệp của bạn có thể tới tay khách hàng hoặc đối tác và làm tổn hại niềm tin. Nếu một Contributor có thể lưu mã kịch bản vào thư viện ảnh hoặc danh sách tệp phương tiện, mã đó có thể chạy với bất kỳ ai xem trang bị ảnh hưởng, kể cả biên tập viên và quản trị viên có quyền cao hơn. Mỗi hệ quả này đều phụ thuộc vào điều kiện nêu trên: plugin và phiên bản đó phải đang được dùng, và với bốn trong năm lỗi, kẻ tấn công cần một tài khoản đã đăng nhập. Chúng tôi khuyên bảo trì kịp thời theo mức rủi ro. Website cho phép đăng ký tự do hoặc có nhiều tài khoản cấp thấp nên thực hiện trước.
Những giới hạn còn lại
Các thông báo đã mở cho biết phiên bản bị ảnh hưởng và quyền cần có. Hồ sơ Patchstack ngày 1 tháng 11 xác nhận lại các khoảng phiên bản và cấp quyền đó. Các thông báo không xác lập việc đang bị khai thác, và bài này cũng không khẳng định là chưa có khai thác. Cập nhật đóng lại những đường tấn công cụ thể này nhưng không phải là xác nhận hồi tố rằng chưa từng có sự cố. Gỡ bỏ plugin không dùng là việc bảo trì hợp lý, nhưng không nên mặc định rằng tắt plugin sẽ vô hiệu hóa mọi đường tấn công. ViWeb không quét hay xử lý khắc phục cho bất kỳ website bên thứ ba nào trong khuôn khổ bài viết này.