Bản tin bảo mật ViWeb
Hướng dẫn ngắn gọn, dựa trên nguồn, về các vấn đề bảo mật website và hosting đáng quan tâm với chủ website doanh nghiệp.
Phạm vi và lịch cập nhật
Hướng dẫn bảo mật website và hosting được chọn lọc từ các khuyến cáo công khai và hồ sơ của nhà phát hành trong phạm vi dịch vụ của ViWeb. Các mục là hướng dẫn chung, không phải chẩn đoán cho một website cụ thể, và không bao quát đầy đủ hay theo thời gian thực.
ViWeb nghiên cứu hằng ngày lúc 10:00 giờ Việt Nam. Mục mới được đăng khi có thay đổi hữu ích đã được kiểm chứng, nên nghiên cứu hằng ngày không đồng nghĩa với đăng bài hằng ngày. Mỗi mục hiển thị ngày kiểm chứng gần nhất. Hãy xem khuyến cáo gốc trước khi hành động.
- Cần chú ý Chưa xác lập việc khai thác
Plugin BuddyForms cho phép chiếm quyền quản trị mà không cần đăng nhập
Mã định danh: CVE-2026-107622
BuddyForms
Wordfence công bố CVE-2026-107622 ngày 5 tháng 11 năm 2026 trong plugin WordPress BuddyForms, ảnh hưởng phiên bản 2.10.5 trở xuống. Phiên bản 2.10.6 đã vá; readme của nhà phát triển ngày 19 tháng 10 năm 2026 liệt kê các sửa lỗi bảo mật tương ứng.
Ai bị ảnh hưởng: Chỉ website chạy BuddyForms 2.10.5 trở xuống đồng thời bật tùy chọn Anyone can register của WordPress và có ít nhất một biểu mẫu BuddyForms công khai gắn vào trang. Các website WordPress khác không bị ảnh hưởng bởi lỗi này.
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
- Cần chú ý Chưa xác lập việc khai thác
Vượt xác thực mật khẩu OpenSSH trên hệ thống Alpine dùng musl không có PAM
Mã định danh: OpenSSH-musl-password-bypass-2026-11-05
OpenSSH on Alpine Linux / musl
Alpine Linux và OpenSSH công bố thông báo ngày 5 tháng 11 năm 2026 về lỗi vượt xác thực mật khẩu trên Linux dùng musl không bật PAM. Thông báo của nhà cung cấp chưa ghi mã CVE. Đã có gói Alpine vá lỗi và biện pháp khắc phục trong bản ngược dòng 10.6p2.
Ai bị ảnh hưởng: Alpine chạy openssh-server hoặc openssh-server-pam với UsePAM no và PasswordAuthentication yes, tài khoản mục tiêu có trường mật khẩu là * và tồn tại tài khoản khác có băm $5$ hoặc $6$, SSH tiếp cận được từ mạng. Alpine đã kiểm tra từ 3.16 đến 3.24 và edge. Hệ thống không phải Linux, dùng glibc, xác thực qua PAM và container không chạy sshd không thuộc phạm vi lỗi này.
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
- Cần chú ý Chưa xác lập việc khai thác
GiveWP 4.19.1 trở xuống cho phép nhập cài đặt để đặt Administrator làm vai trò mặc định của người quyên góp (CVE-2026-118193)
Mã định danh: CVE-2026-118193
GiveWP
Ở GiveWP 4.19.1 trở xuống, màn hình cài đặt thông thường chặn Administrator làm vai trò mặc định cho người quyên góp nhưng vẫn cho phép các vai trò cao khác như Editor. Đường dẫn Tools > Import JSON bỏ qua bước kiểm tra này, nên người dùng đã đăng nhập có capability manage_give_settings có thể đặt Administrator làm vai trò mặc định cho những người quyên góp đăng ký sau đó.
Ai bị ảnh hưởng: Website WordPress dùng GiveWP 4.19.1 trở xuống. Lỗi này cần một tài khoản đã đăng nhập có capability manage_give_settings, bất kể tài khoản đó thuộc về ai.
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
- Cần chú ý Chưa xác lập việc khai thác
LiteSpeed Cache có thể lưu dữ liệu giỏ hàng và thanh toán WooCommerce vào bộ nhớ đệm công khai (CVE-2026-93389)
Mã định danh: CVE-2026-93389
LiteSpeed Cache
Ở LiteSpeed Cache 7.9.1 trở xuống, khi tùy chọn Cache REST được bật theo mặc định khi phát hành, phản hồi giỏ hàng và thanh toán của WooCommerce Store API có thể được lưu vào bộ nhớ đệm công khai mà không phân tách theo Cart-Token hay phiên WooCommerce. Khách truy cập chưa đăng nhập sau đó có thể nhận được thông tin thanh toán, giao hàng và giỏ hàng của khách hàng khác, kể cả token phiên giỏ hàng đang hoạt động.
Ai bị ảnh hưởng: Cửa hàng WordPress dùng LiteSpeed Cache 7.9.1 trở xuống cùng với WooCommerce, có bật tùy chọn Cache REST, phía sau một lớp LSCache công khai đang hoạt động.
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.
- Cần chú ý Chưa xác lập việc khai thác
Simple CAPTCHA with Cloudflare Turnstile 1.44.3 trở xuống cho phép chèn script lưu trữ qua shortcode Gravity Forms (CVE-2026-93900)
Mã định danh: CVE-2026-93900
Simple CAPTCHA with Cloudflare Turnstile
Người dùng đã đăng nhập với quyền Contributor trở lên có thể chèn script lưu trữ qua thuộc tính id của shortcode [gravity-simple-turnstile]. Script chạy khi người dùng khác xem nội dung chứa nó về sau. Đây là vấn đề xử lý đầu ra của plugin, không phải điểm yếu của dịch vụ Turnstile của Cloudflare và không phải cách vượt qua CAPTCHA.
Ai bị ảnh hưởng: Website WordPress dùng phiên bản 1.44.3 trở xuống, nơi tài khoản cấp Contributor hoặc tương tự có thể gửi nội dung và shortcode tích hợp Gravity Forms khả dụng. Bản 1.44.4, phát hành ngày 30 tháng 10, khắc phục lỗi này; bản 1.44.5 bổ sung các sửa lỗi form đăng nhập riêng, không thuộc CVE này.
- Thay đổi nội dung gần nhất
- Xác minh gần nhất
Xác minh gần nhất: . Mục cần chú ý được xác minh lại trong vòng 72 giờ.