Hai plugin WordPress chuyên xử lý nội dung đến từ bên ngoài khu vực quản trị đã nhận thông báo bảo mật từ Wordfence vào ngày 30 tháng 10 năm 2026, cả hai đều được cập nhật ngày 31 tháng 10. Một plugin quản lý nhật ký lỗi, plugin còn lại nhập nguồn tin RSS và Atom. Trong cả hai trường hợp, nhà phát triển đã phát hành bản sửa trước khi thông báo công khai, nên câu hỏi thực tế với chủ website là bản cập nhật đã được cài hay chưa. Bài điểm tin này phản ánh những gì chúng tôi kiểm tra tính đến ngày 1 tháng 11 năm 2026. Không thông báo nào trong số đã xem xét ghi nhận việc khai thác thực tế. Đó là việc không có báo cáo, không phải bằng chứng rằng lạm dụng chưa từng xảy ra.
Debug Log Manager: stored XSS qua điểm cuối ghi lỗi JavaScript
Ai bị ảnh hưởng. Website dùng plugin Debug Log Manager (slug debug-log-manager) phiên bản 2.5.2 hoặc cũ hơn. Bản sửa là 2.5.3 hoặc bất kỳ bản vá mới hơn. Lỗi được theo dõi với mã CVE-2026-120114 và do Josef Azizov (Spoofable) báo cáo.
Thông báo mô tả gì. Wordfence ghi nhận lỗi stored cross-site scripting không cần xác thực trong điểm cuối AJAX log_js_errors thông qua hai giá trị message và pageUrl. Kẻ tấn công không cần tài khoản trên website. Điều kiện là quản trị viên đã bật đồng thời ghi nhật ký gỡ lỗi và ghi lỗi JavaScript, và kẻ tấn công đọc được nonce dlmVars.jsErrorLogging, vốn được plugin in ra trên trang công khai khi tính năng này hoạt động, nên nó không có vai trò bí mật. Với các điều kiện đó, bất kỳ ai tiếp cận được điểm cuối đều có thể gửi một mục nhật ký được dựng sẵn. Mã độc được chèn sẽ chạy trong trình duyệt của người mở màn hình hiển thị nhật ký bị ảnh hưởng, thường là quản trị viên. Thông báo không mô tả việc thực thi mã trên máy chủ.
Cần kiểm tra gì. Xác nhận đúng slug plugin và phiên bản đang chạy. Kiểm tra xem ghi lỗi JavaScript có đang bật không. Nếu nghi ngờ có mục nhật ký độc hại, hãy giữ lại nhật ký làm bằng chứng nhưng tránh mở nó trong phiên bản trình xem còn lỗi.
Bản sửa và giới hạn. Cập nhật lên 2.5.3 hoặc mới hơn từ kho plugin chính thức. Mục changelog của nhà phát triển cho bản 2.5.3, ghi ngày 19 tháng 10 năm 2026, mô tả hai thay đổi, có ghi công Wordfence: mã HTML đã được mã hóa trong các mục lỗi JavaScript gửi lên nay được giải mã và loại bỏ, còn chi tiết nhật ký trả về cho trình xem thì được escape. Bản sửa không xóa bỏ chính các mục lỗi đó. Patchstack đăng mục riêng ngày 31 tháng 10 và đồng ý về phạm vi bị ảnh hưởng cũng như phiên bản sửa. Sau khi cập nhật, kiểm tra phiên bản đang chạy và tạo một lỗi vô hại để xác nhận việc ghi nhật ký vẫn hoạt động. Nếu không còn cần ghi nhật ký gỡ lỗi và JavaScript sau khi xử lý sự cố, tắt chúng sẽ giảm mức phơi nhiễm, nhưng không thay thế được việc cập nhật. Không nên xóa toàn bộ nhật ký vì có thể chứa bằng chứng.
Nguồn: Thông báo Wordfence, trang plugin và changelog, mục Patchstack.
FeedWordPress: stored XSS qua nội dung nguồn tin được đồng bộ
Ai bị ảnh hưởng. Website dùng FeedWordPress (slug feedwordpress) phiên bản 2026.0517 hoặc cũ hơn. Bản sửa là 2026.1016 hoặc mới hơn. Lỗi được theo dõi với mã CVE-2026-110530 và do Adrien Brunner báo cáo.
Thông báo mô tả gì. Nội dung lấy từ nguồn RSS hoặc Atom đã đăng ký được lưu mà không được lọc đầy đủ. Kẻ tấn công không cần tài khoản trên website WordPress. Điều kiện là họ kiểm soát được một nguồn tin bên ngoài mà website đã đăng ký từ trước, và đó là cách mã đánh dấu độc hại được nhập vào. Sau khi được lưu, mã này có thể chạy trong trình duyệt của bất kỳ ai, kể cả khách truy cập thông thường, khi họ xem bài viết hoặc trang bị ảnh hưởng.
Bản sửa. Phiên bản 2026.1016 áp dụng bộ lọc KSES của WordPress cho bài viết và đoạn trích được đồng bộ. Changelog của nhà phát triển nêu rõ mã CVE và ghi công Wordfence cùng nhà nghiên cứu.
Giới hạn quan trọng. Bộ lọc chỉ áp dụng cho nội dung được đồng bộ hoặc cập nhật sau khi nâng cấp. Các bài đã nhập trước đó vẫn giữ nguyên trừ khi bị xóa và đồng bộ lại, hoặc nguồn tin gốc thay đổi. Chúng tôi không khuyến nghị xóa và đồng bộ lại toàn bộ, vì có thể mất nội dung và bằng chứng. Một nhà cung cấp đủ năng lực nên rà soát an toàn các bài đã nhập, có bản sao lưu sẵn, và chỉ lên kế hoạch dọn dẹp có kiểm soát nếu phát hiện điều bất thường. Bản phát hành mới cũng yêu cầu WordPress 6.2 trở lên, nên hãy kiểm tra phiên bản lõi trước khi cập nhật. Vì KSES loại bỏ một số mã đánh dấu, các nội dung nhúng và định dạng từ nguồn tin có thể hiển thị khác sau đó. Hãy chạy thử một lần nhập mẫu, xem lại bố cục, và tranh thủ rà soát xem bạn còn tin cậy những nguồn tin nào.
Nguồn: Thông báo Wordfence, trang plugin và changelog.
Lời khuyên chung cho cả hai
- Sao lưu đầy đủ và ghi lại phiên bản plugin cùng lõi hiện tại trước khi cập nhật. Hướng dẫn chiến lược sao lưu của chúng tôi có phần kiểm thử phục hồi.
- Cập nhật đóng lỗ hổng nhưng không chứng minh website đã sạch. Tài khoản quản trị lạ, tệp bị thay đổi, hay nội dung bất thường trong bài viết hoặc nhật ký cần được điều tra riêng.
- Giám sát vượt ngoài uptime giúp phát hiện thay đổi nội dung mà một lần ping đơn giản sẽ bỏ qua.
- Để tăng cường bảo mật rộng hơn, xem cách bảo mật website WordPress và thực hành bảo mật website tốt nhất.
- Nếu bạn muốn có người theo dõi những thông báo plugin như thế này thay mình, trang bảo trì WordPress mô tả cách chúng tôi tiếp cận công việc đó.
Cả hai thông báo được công bố ngày 30 tháng 10 năm 2026 và các bản sửa đều có trước đó. Thông tin trên được kiểm tra ngày 1 tháng 11 năm 2026, không phải được phát hiện vào ngày đó.