Tên plugin	Trình thu thập dữ liệu Amazon
Loại lỗ hổng	CSRF (Làm giả yêu cầu giữa các trang web)
Số CVE	CVE-2026-8419
Tính cấp bách	Thấp
Ngày xuất bản CVE	2026-05-20
URL nguồn	CVE-2026-8419

Khẩn cấp: CSRF → XSS lưu trữ trong plugin Amazon Scraper (≤ 1.1) — Những gì chủ sở hữu trang WordPress cần làm ngay bây giờ

Đã xuất bản: 19 tháng 5 năm 2026
CVE: CVE-2026-8419
Mức độ nghiêm trọng: Thấp (CVSS 4.3) — nhưng có thể hành động khi kết hợp với tương tác của người dùng

Bản tóm tắt

Một lỗ hổng vừa được công bố trong plugin Amazon Scraper WordPress (các phiên bản ≤ 1.1) có thể được kết nối từ một cuộc tấn công Cross-Site Request Forgery (CSRF) đến một điều kiện Cross-Site Scripting (XSS) lưu trữ. Mặc dù mức độ nghiêm trọng được báo cáo là thấp, vấn đề này có thể được khai thác trong các kịch bản mục tiêu để thực thi JavaScript trong các ngữ cảnh người dùng có quyền (ví dụ: quản trị viên hoặc biên tập viên) sau khi thực hiện kỹ thuật xã hội. Bài viết này giải thích lỗ hổng ở mức độ thực tiễn, đi qua các kịch bản tấn công và phát hiện thực tế, và đưa ra một kế hoạch giảm thiểu ưu tiên mà bạn có thể thực hiện ngay lập tức — bao gồm cách mà các biện pháp bảo vệ WP-Firewall của chúng tôi có thể giúp bạn vá ảo và giảm rủi ro trong khi bạn khắc phục.

Tóm lại

• Một lỗ hổng CSRF trong các phiên bản plugin Amazon Scraper lên đến 1.1 cho phép kẻ tấn công kích hoạt chức năng trong plugin mà không cần nonce hợp lệ hoặc kiểm tra khả năng thích hợp.
• Hành động đó có thể dẫn đến dữ liệu do người dùng cung cấp được lưu trữ và sau đó được hiển thị mà không có sự thoát thích hợp — biến CSRF thành XSS lưu trữ.
• Hành động ngay lập tức: vô hiệu hóa hoặc gỡ bỏ plugin nếu bạn sử dụng nó và không thể vá ngay lập tức; hạn chế quyền truy cập quản trị; kích hoạt tăng cường và giám sát; áp dụng các quy tắc vá ảo WAF (WAF WP-Firewall của chúng tôi có thể giúp).
• Về lâu dài: áp dụng nguyên tắc quyền tối thiểu, kích hoạt 2FA, xoay vòng thông tin xác thực, kiểm tra trang web để phát hiện các sửa đổi đáng ngờ và tài khoản quản trị mới.

Tại sao điều này quan trọng (ngôn ngữ đơn giản)

Một vấn đề CSRF có nghĩa là kẻ tấn công có thể lừa một trình duyệt (của ai đó đã đăng nhập vào backend WordPress của bạn) gửi một yêu cầu mà plugin tin tưởng. Nếu yêu cầu đó chứa HTML/JavaScript độc hại mà plugin sau đó lưu trữ và hiển thị mà không được làm sạch, nội dung lưu trữ có thể thực thi trong trình duyệt của quản trị viên. Đó là XSS lưu trữ. Trong ngữ cảnh đúng, điều này có thể cho phép đánh cắp cookie (nếu cookie không được đánh dấu là bảo vệ), chiếm đoạt tài khoản, hoặc cài đặt cửa hậu. Rủi ro ban đầu là “thấp hơn” vì cuộc tấn công yêu cầu tương tác của người dùng (một người dùng có quyền truy cập vào một trang được tạo hoặc nhấp vào một liên kết). Nhưng các cuộc tấn công trong thế giới thực thường dựa vào kỹ thuật xã hội để đạt được tương tác đó — và ngay cả một lần khai thác thành công cũng có thể gây thiệt hại nghiêm trọng.

Chi tiết lỗ hổng — kỹ thuật nhưng không khai thác

• Kiểu: CSRF dẫn đến XSS lưu trữ
• Plugin bị ảnh hưởng: Amazon Scraper (plugin WordPress)
• Các phiên bản bị ảnh hưởng: ≤ 1.1
• CVE: CVE-2026-8419
• Mô hình khai thác: Kẻ tấn công tạo ra một yêu cầu khiến plugin lưu trữ đầu vào do kẻ tấn công kiểm soát vào cơ sở dữ liệu (ví dụ, dữ liệu sản phẩm, siêu dữ liệu, hoặc một mục nhật ký), và nội dung lưu trữ đó sau đó được hiển thị trên một trang quản trị mà không có sự thoát thích hợp. Bởi vì điểm cuối của plugin thiếu hoặc xử lý không đúng bảo vệ CSRF (nonce hoặc kiểm tra referer) và kiểm tra khả năng, kẻ tấn công chỉ cần một người dùng có quyền để khiến yêu cầu được phát hành trong một trình duyệt mà người dùng đã xác thực.

Những gì kẻ tấn công cần

• Trang WordPress mục tiêu với plugin dễ bị tấn công đang hoạt động.
• Một người dùng có quyền (quản trị viên/biên tập viên) trên trang mục tiêu sẽ tương tác với nội dung do kẻ tấn công kiểm soát (ví dụ, nhấp vào một liên kết, tải một trang, hoặc bị lừa để gửi một biểu mẫu).
• Một trang hoặc email được tạo ra để kích hoạt yêu cầu độc hại (CSRF) từ trình duyệt của người dùng có quyền.

Tại sao CVSS thấp và điều đó có nghĩa là gì đối với bạn

CVSS công khai là 4.3 (Thấp) vì khai thác yêu cầu tương tác của người dùng và chuỗi lỗ hổng phụ thuộc vào một người dùng có quyền thực hiện một hành động. CVSS thấp không có nghĩa là “bỏ qua nó” — nó có nghĩa là cơ hội thành công của kẻ tấn công hẹp hơn, nhưng vẫn thực tế. Trong các môi trường có nhiều quản trị viên, hoặc nơi người dùng quản trị có thể bị kỹ thuật xã hội (ví dụ, qua lừa đảo), rủi ro trở nên đáng kể.

Sổ tay tấn công thực tế (cấp cao)

1. Kẻ tấn công dụ một quản trị viên đến một trang web thù địch hoặc gửi một email HTML với nội dung nhúng kích hoạt một POST nền đến điểm cuối plugin dễ bị tổn thương.
2. Trình duyệt của nạn nhân gửi yêu cầu trong khi đã xác thực; plugin chấp nhận yêu cầu vì nó thiếu xác minh nonce/capability.
3. Plugin lưu trữ nội dung do kẻ tấn công cung cấp trong cơ sở dữ liệu (mô tả, ghi chú, thông tin vận chuyển, mô tả sản phẩm hoặc tương tự).
4. Sau đó, khi nội dung đã lưu được hiển thị trong khu vực quản trị WordPress hoặc nơi khác mà không có thoát đúng cách, payload độc hại thực thi trong ngữ cảnh quản trị.
5. Hậu quả có thể bao gồm lạm dụng phiên, tạo tài khoản quản trị, tiêm backdoor vĩnh viễn hoặc rò rỉ dữ liệu.

Phát hiện — dấu hiệu cần tìm

• Các bài đăng mới không mong đợi, mục sản phẩm hoặc siêu dữ liệu chứa 7. thẻ hoặc JavaScript nội tuyến đáng ngờ.
• Giao diện quản trị hiển thị nội dung không quen thuộc trong các trường văn bản (đặc biệt là các trường thường chỉ chứa dữ liệu có cấu trúc).
• Bằng chứng về những thay đổi gần đây trong các tệp plugin hoặc các tác vụ đã lên lịch không xác định (cron).
• Các mục nhật ký bất thường: yêu cầu POST đến các điểm cuối plugin từ bên ngoài miền của bạn, hoặc yêu cầu xuất phát từ các user-agent thông thường vào những thời điểm kỳ lạ.
• Người dùng quản trị mới hoặc đã sửa đổi mà bạn (hoặc nhóm của bạn) không tạo ra.

Giảm thiểu ngay lập tức — danh sách kiểm tra ưu tiên (cần làm gì ngay bây giờ)

1. Nếu bạn chạy Amazon Scraper (≤ 1.1), hãy tắt nó ngay bây giờ.
   • Vô hiệu hóa plugin ngay lập tức nếu bạn có thể chịu đựng thời gian ngừng hoạt động. Nếu bạn phụ thuộc vào nó cho các hoạt động cốt lõi và không thể vô hiệu hóa ngay lập tức, hãy tiếp tục với các bước khác và lên lịch vô hiệu hóa càng sớm càng tốt.
2. Khóa quyền truy cập quản trị.
   • Giới hạn các IP có thể truy cập wp-admin (thông qua các điều khiển lưu trữ hoặc quy tắc tường lửa).
   • Giảm tạm thời số lượng tài khoản quản trị. Kiểm tra các tài khoản và loại bỏ các vai trò quản trị/biên tập viên không cần thiết.
   • Yêu cầu xác thực mạnh hơn (2FA) cho tất cả người dùng có quyền nâng cao.
3. Quét để phát hiện sự xâm phạm.
   • Chạy quét phần mềm độc hại trên toàn bộ hệ thống tệp và cơ sở dữ liệu. Tìm kiếm cụ thể các tập lệnh được lưu trữ trong meta bài viết, tùy chọn và nhật ký plugin.
   • Kiểm tra các tệp đã được sửa đổi gần đây và các cron job không xác định.
   • Kiểm tra wp_users để tìm các tài khoản không được phép.
4. Thay đổi thông tin đăng nhập.
   • Thay đổi mật khẩu cho các tài khoản quản trị bị ảnh hưởng và bất kỳ tài khoản dịch vụ nào.
   • Thu hồi và cấp lại các khóa API có thể được lưu trữ trong cài đặt plugin.
5. Áp dụng các kiểm soát hiển thị nội dung.
   • Thêm tiêu đề Content-Security-Policy (CSP) để giảm thiểu tác động của XSS đã lưu (CSP có thể ngăn chặn việc thực thi script nội tuyến nếu được cấu hình đúng cách).
6. Vá ảo với các quy tắc WAF.
   • Tạo các quy tắc WAF để chặn các POST đáng ngờ đến các điểm cuối của plugin và chặn các payload chứa các mẫu giống như script trong các trường biểu mẫu.
   • Trên WP-Firewall, bật bộ quy tắc WAF được quản lý và thêm một quy tắc tùy chỉnh để chặn các yêu cầu có đầu vào đáng ngờ nhắm vào các tên tham số dễ bị tổn thương (chúng tôi có thể giúp tạo quy tắc đó).
7. Chuẩn bị để khôi phục.
   • Nếu bạn phát hiện ra sự xâm phạm, hãy khôi phục từ một bản sao lưu sạch được thực hiện trước sự cố. Nếu không có bản sao lưu sạch, hãy cách ly trang web và xây dựng lại từ một trạng thái tốt đã biết.

Các bước tăng cường an toàn cụ thể mà bạn có thể thực hiện ngay lập tức

• Bật xác thực hai yếu tố cho tất cả các tài khoản quản trị viên và biên tập viên.
• Buộc đặt lại mật khẩu cho tất cả người dùng có vai trò quản trị viên/biên tập viên trên trang web.
• Giới hạn các IP có thể truy cập /wp-admin và /wp-login.php (nếu khả thi).
• Chặn các yêu cầu bên ngoài trên các điểm cuối AJAX/hành động cụ thể của plugin nếu chúng không được thiết kế để truy cập công khai.
• Sử dụng các quy tắc bảo mật cấp máy chủ để chặn các yêu cầu bao gồm các chuỗi đáng ngờ (thẻ script, javascript:, onerror=, đang tải =) trong thân POST.

WP-Firewall có thể giúp như thế nào (hướng dẫn thực tiễn, tính năng nổi bật)

• Bản vá ảo: WAF của chúng tôi có thể chặn các vectơ tấn công bằng cách chặn các POST độc hại và các biểu mẫu gửi đến các điểm cuối của plugin. Điều này ngay lập tức giảm bề mặt tấn công - ngay cả khi plugin vẫn hoạt động.
• Kiểm tra đầu vào: WP-Firewall kiểm tra và lọc các payload yêu cầu cho các đoạn mã giống như script và các chuỗi nghi ngờ thường được sử dụng trong XSS lưu trữ.
• Tăng cường quản trị: thực thi 2FA, giới hạn quyền truy cập quản trị theo IP và theo dõi hành vi đăng nhập.
• Tùy chọn quét và dọn dẹp phần mềm độc hại: trình quét của chúng tôi có thể xác định các tệp và nội dung nghi ngờ; trên các gói trả phí, việc xóa và khắc phục tự động có sẵn.
• Quy tắc và cập nhật được quản lý: đội ngũ của chúng tôi sẽ đẩy các chữ ký WAF mới khi các bằng chứng khái niệm hoặc mẫu tấn công mới xuất hiện.

Quan trọng: Nếu bạn đã sử dụng gói miễn phí WP-Firewall, hãy kích hoạt bộ quy tắc được quản lý và thực hiện quét toàn bộ ngay bây giờ. Nếu bạn chưa có tài khoản WP-Firewall, gói miễn phí của chúng tôi bao gồm các biện pháp bảo vệ thiết yếu (tường lửa được quản lý, WAF, quét phần mềm độc hại và giảm thiểu OWASP top 10), đây là cách nhanh chóng để giảm thiểu rủi ro. Xem ghi chú bên dưới để biết cách bắt đầu.

Hướng dẫn cho nhà phát triển - cách khắc phục loại lỗi này (dành cho tác giả plugin)

Nếu bạn duy trì các plugin (hoặc thuê các nhà thầu làm điều đó), loại lỗi cho phép lỗ hổng này đã được hiểu rõ và có thể ngăn chặn. Các bản sửa lỗi nên an toàn, nhất quán và tuân theo các thực tiễn bảo mật tốt nhất của WordPress:

1. Luôn xác minh một nonce trên các biểu mẫu và hành động quản trị

   // Trong biểu mẫu (đầu ra):
   

2. Kiểm tra khả năng của người dùng

   nếu ( ! current_user_can( 'manage_options' ) ) { wp_die( 'Không đủ quyền' ); }
   

3. Làm sạch dữ liệu đầu vào và thoát trên đầu ra

   // Làm sạch đầu vào trước khi lưu;
   

4. Đối với các điểm cuối REST API, luôn sử dụng permission_callback

   register_rest_route( 'my-plugin/v1', '/save', array(;
   

5. Tránh lưu trữ HTML không được lọc trừ khi thật sự cần thiết

   $allowed = array(;
   

Danh sách kiểm tra cho nhà phát triển cho một bản cập nhật bảo mật

• Thêm kiểm tra nonce cho mọi hành động thay đổi trạng thái.
• Thêm kiểm tra khả năng cho mọi hành động thay đổi trạng thái.
• Làm sạch và xác thực tất cả các đầu vào trước khi lưu.
• Thoát mọi thứ khi hiển thị đầu ra cho trang quản trị hoặc trang front-end.
• Thêm ghi chép cho các kiểm tra nonce/khả năng đáng ngờ hoặc thất bại.
• Gửi một bản vá và giao tiếp rõ ràng với người dùng (bao gồm hướng dẫn cho việc giảm thiểu thủ công).

Kiểm tra ngẫu nhiên và các bước pháp y nếu bạn nghi ngờ bị xâm phạm.

• Tìm kiếm trong cơ sở dữ liệu các thẻ script:

  CHỌN * TỪ wp_posts NƠI post_content GIỐNG NHƯ '%

  Tìm kiếm wp_postmeta, wp_options và các bảng plugin khác cho các mục đáng ngờ.

• Kiểm tra người dùng quản trị mới:

  SELECT ID, user_login, user_email, user_registered FROM wp_users WHERE ID IN (
    SELECT user_id FROM wp_usermeta WHERE meta_key = 'wp_capabilities' AND meta_value LIKE '%administrator%'
  );

• Kiểm tra hệ thống tệp cho các tệp vừa được sửa đổi:

  tìm . -type f -mtime -30

• Xem xét nhật ký truy cập:

  Tìm kiếm các POST nhắm vào các điểm cuối của plugin hoặc các yêu cầu chứa tải trọng giống như script.

Tại sao vá ảo lại hữu ích trong trường hợp này

Khi người dùng hạ nguồn không thể ngay lập tức cập nhật một plugin (bởi vì nhà cung cấp chưa phát hành bản vá hoặc nó không tương thích với môi trường của bạn), vá ảo tại WAF là cách nhanh nhất để giảm thiểu rủi ro. Một WAF có thể:

• Chặn các yêu cầu cố gắng gửi thẻ script hoặc tải trọng giống như JavaScript.
• Thi hành các biện pháp bảo vệ giống như CSRF bằng cách chặn các yêu cầu nếu Origin/Referer có dấu hiệu đáng ngờ.
• Giới hạn tỷ lệ và chặn các IP đáng ngờ cố gắng truy cập các điểm cuối của plugin.

Ghi chú: Vá ảo là một biện pháp giảm thiểu, không phải là sự thay thế cho việc áp dụng một bản sửa lỗi thực sự. Nó giảm thiểu rủi ro nhưng chỉ nên được sử dụng như một biện pháp tạm thời cho đến khi plugin được vá hoặc thay thế.

Cách ưu tiên công việc của bạn (thời gian khuyến nghị)

• Trong vòng 0–4 giờ: Vô hiệu hóa plugin nếu khả thi; kích hoạt các biện pháp bảo vệ WAF và xem xét các tài khoản quản trị. Buộc đặt lại mật khẩu và kích hoạt 2FA.
• Trong vòng 24 giờ: Quét các chỉ số của sự xâm phạm; kiểm tra nhật ký và cơ sở dữ liệu. Thêm các quy tắc cấp máy chủ để chặn các vectơ tấn công (CSP, kiểm tra Content-Type).
• Trong vòng 48–72 giờ: Gỡ bỏ hoặc thay thế plugin, hoặc áp dụng bản vá do nhà cung cấp cung cấp. Nếu bạn không thể vá, hãy giữ bảo vệ WAF và tiếp tục giám sát.
• Đang diễn ra: Giám sát trang web, thực hiện quét bảo mật định kỳ và đảm bảo cập nhật plugin là một phần của quy trình bảo trì của bạn.

Cải thiện bảo mật lâu dài (chủ sở hữu trang web & các cơ quan)

• Duy trì danh sách các plugin đã cài đặt, ngày cập nhật cuối cùng của chúng và uy tín của nhà cung cấp để có các bản sửa lỗi bảo mật kịp thời.
• Chạy các quét tự động trong môi trường staging và sản xuất một cách thường xuyên.
• Áp dụng chính sách quyền tối thiểu cho tài khoản người dùng và khóa API.
• Giữ bản sao lưu với kiểm tra tính toàn vẹn và bản sao ngoại tuyến để cho phép phục hồi nhanh chóng.
• Sử dụng triển khai theo giai đoạn và kiểm tra tự động trước khi áp dụng các bản cập nhật plugin vào sản xuất.

Nếu bạn phát hiện mình bị xâm phạm — các bước phản ứng nhanh

1. Cô lập trang web: đưa nó ngoại tuyến hoặc đặt nó vào chế độ bảo trì.
2. Bảo tồn nhật ký và ảnh chụp cơ sở dữ liệu để điều tra.
3. Xác định phạm vi: các tệp đã thay đổi, tài khoản đã thêm, cron jobs/cửa hậu vĩnh viễn.
4. Khôi phục từ một bản sao lưu đã biết là sạch hoặc xây dựng lại từ các nguồn đáng tin cậy.
5. Đổi tất cả thông tin xác thực và vô hiệu hóa phiên cho người dùng có quyền cao.
6. Tăng cường môi trường và giám sát để phát hiện tái nhiễm.

Hướng dẫn ngắn cho những người duy trì plugin (bảo mật theo thiết kế)

• Thực thi kiểm tra phía máy chủ (nonces + kiểm tra khả năng) cho tất cả các hành động thay đổi trạng thái.
• Thiết lập các bài kiểm tra bảo mật dựa trên CI (SAST, kiểm tra phụ thuộc).
• Cung cấp một VDP hoặc quy trình rõ ràng để báo cáo lỗ hổng một cách có trách nhiệm.
• Phát hành các bản vá bảo mật kịp thời và cung cấp hướng dẫn nâng cấp rõ ràng cho người dùng.

Các cân nhắc về quyền riêng tư và pháp lý

Nếu XSS lưu trữ bị khai thác, kẻ tấn công có thể đã truy cập dữ liệu cấp tài khoản hoặc thực hiện hành động thay mặt cho quản trị viên. Tùy thuộc vào khu vực pháp lý của bạn và dữ liệu liên quan, bạn có thể có nghĩa vụ tiết lộ. Tham khảo ý kiến luật sư nếu bạn tìm thấy bằng chứng về việc truy cập hoặc rò rỉ dữ liệu.

Nhận bảo vệ thực tế trong vài phút — kế hoạch miễn phí có sẵn

Bảo mật trang WordPress của bạn ngay bây giờ với các biện pháp bảo vệ cơ bản nhưng hiệu quả. Kế hoạch miễn phí của chúng tôi bao gồm các biện pháp phòng thủ thiết yếu mà mọi trang web nên có:

• Tường lửa được quản lý và WAF để chặn các nỗ lực khai thác
• Quét băng thông không giới hạn và bảo vệ để các cuộc tấn công không tiêu tốn hạn mức lưu trữ của bạn
• Trình quét phần mềm độc hại kiểm tra các tệp và mục nhập cơ sở dữ liệu để phát hiện nội dung đáng ngờ
• Giảm thiểu cho 10 rủi ro hàng đầu của OWASP để giảm thiểu các vectơ tấn công web phổ biến

Bảo vệ trang web của bạn nhanh chóng với kế hoạch Cơ bản Miễn phí của chúng tôi

Nếu bạn muốn giảm thiểu rủi ro ngay lập tức, hãy đăng ký kế hoạch Cơ bản (Miễn phí) của WP-Firewall để có được tường lửa và bảo vệ WAF được quản lý nhanh chóng: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
(Kế hoạch miễn phí bao gồm: tường lửa được quản lý, băng thông không giới hạn, WAF, trình quét phần mềm độc hại và giảm thiểu OWASP Top 10.)

Nâng cấp sau này có thể mang lại cho bạn khả năng xóa phần mềm độc hại tự động, kiểm soát cho phép/không cho phép IP và vá ảo nâng cao nếu bạn cần.

Cuộc trò chuyện với đội ngũ lưu trữ hoặc nhà phát triển của bạn — những gì cần hỏi

• Chúng ta có chạy plugin Amazon Scraper không? Nếu có, phiên bản nào?
• Chúng ta có thể tạm thời đưa nó ngoại tuyến không? Nếu không, chúng ta có thể chặn truy cập vào các điểm cuối của plugin bằng IP không?
• Chúng ta có một bản sao lưu sạch gần đây không? Có bản sao lưu ngoại tuyến không?
• Bạn có thể kích hoạt 2FA và thực thi nó cho các tài khoản quản trị/biên tập viên ngay lập tức không?
• Chúng ta có thể thêm các quy tắc WAF để chặn các POST đáng ngờ và các payload giống như script không?

Những suy nghĩ cuối cùng — hãy thực tế và ưu tiên rủi ro

Ngay cả những lỗ hổng được đánh giá là “thấp” cũng có thể bị lợi dụng khi một kẻ tấn công chỉ cần lừa một người dùng có quyền hạn. Cách tiếp cận hợp lý là theo lớp: loại bỏ hoặc vá thành phần dễ bị tổn thương; nếu không thể, vá ảo tại WAF; củng cố quyền truy cập quản trị; quét và giám sát một cách quyết liệt. Lập kế hoạch và tự động hóa giảm thời gian phản ứng và làm cho các sự cố dễ dàng hơn để kiểm soát.

Nếu bạn cần trợ giúp trực tiếp trong việc triển khai các bản vá ảo WAF, thiết lập các khối quy tắc cho các điểm cuối dễ bị tổn thương, hoặc thực hiện quét và dọn dẹp nhanh chóng, đội ngũ của chúng tôi tại WP-Firewall sẵn sàng hỗ trợ. Bắt đầu với gói Cơ bản miễn phí để nhanh chóng thiết lập các biện pháp bảo vệ thiết yếu: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Tài liệu tham khảo và đọc thêm

• CVE-2026-8419 (định danh thông báo công khai)
• Các thực tiễn bảo mật WordPress tốt nhất chung: sử dụng nonce, kiểm tra khả năng, làm sạch đầu vào và thoát đầu ra (xem tài liệu phát triển WordPress)
• Hướng dẫn OWASP về các biện pháp giảm thiểu CSRF và XSS

Nếu bạn cần trợ giúp: các chuyên gia của chúng tôi có thể giúp kiểm tra trang web của bạn, thiết lập các bản vá ảo và thực hiện dọn dẹp nếu bạn nghi ngờ bị xâm phạm. Liên hệ với chúng tôi qua bảng điều khiển WP-Firewall sau khi đăng ký gói Cơ bản miễn phí — đó là bước thực tiễn nhanh nhất để giảm thiểu rủi ro trong khi bạn làm việc qua việc khắc phục.