| Tên plugin | Plugin Mail Mint của WordPress |
|---|---|
| Loại lỗ hổng | Tiết lộ dữ liệu nhạy cảm |
| Số CVE | CVE-2026-27349 |
| Tính cấp bách | Thấp |
| Ngày xuất bản CVE | 2026-05-21 |
| URL nguồn | CVE-2026-27349 |
Lộ dữ liệu nhạy cảm trong Plugin Mail Mint (≤1.19.5) — Những gì chủ sở hữu trang WordPress cần biết
Bản tóm tắt: Một lỗ hổng (CVE-2026-27349) ảnh hưởng đến plugin Mail Mint của WordPress (các phiên bản ≤ 1.19.5) đã được công bố. Vấn đề này được phân loại là Lộ dữ liệu nhạy cảm (OWASP A3) với điểm số cơ bản CVSS là 4.3. Nó đã được vá trong Mail Mint 1.20.0. Mặc dù đây là một lỗ hổng có mức độ nghiêm trọng thấp, nhưng nó có thể lộ thông tin nhạy cảm cho người dùng đã xác thực có quyền Subscriber. Trong bài viết này, chúng tôi giải thích chi tiết kỹ thuật, các kịch bản rủi ro thực tế, các biện pháp giảm thiểu nhanh chóng mà bạn có thể áp dụng ngay lập tức (bao gồm vá ảo qua WAF), các bước khắc phục và các biện pháp kiểm soát lâu dài để giảm thiểu các rủi ro tương tự trên toàn bộ hệ thống WordPress của bạn.
Tại sao điều này quan trọng
Ngay cả những lỗ hổng có mức độ nghiêm trọng thấp cũng quan trọng vì kẻ tấn công sử dụng chúng trên quy mô lớn. Lộ dữ liệu nhạy cảm có thể tiết lộ chi tiết người dùng, mã thông báo, ID nội bộ hoặc giá trị cấu hình, từ đó làm cho việc nâng cao quyền hạn có mục tiêu, kỹ thuật xã hội hoặc các cuộc tấn công chuỗi trở nên dễ dàng hơn. Nếu trang của bạn đã cài đặt plugin Mail Mint và chưa được cập nhật lên 1.20.0 hoặc phiên bản mới hơn, bạn nên coi trang đó là có khả năng bị tổn thương và làm theo hướng dẫn dưới đây.
Thông tin nhanh (nhìn lướt qua)
- Plugin: Mail Mint
- Các phiên bản dễ bị tổn thương: ≤ 1.19.5
- Phiên bản đã được vá: 1.20.0
- Lỗ hổng: Lộ dữ liệu nhạy cảm (OWASP A3)
- CVE: CVE-2026-27349
- Điểm số cơ bản CVSS: 4.3 (Thấp)
- Quyền cần thiết để khai thác: Subscriber
- Đã báo cáo cho nhà cung cấp: (nhà nghiên cứu bảo mật)
- Công bố công khai: 2026-05-21
Tổng quan kỹ thuật (vulnerability là gì)
Lỗ hổng cho phép người dùng đã xác thực có quyền cấp độ Subscriber truy cập dữ liệu mà họ không nên thấy. Điều này thường do kiểm soát truy cập không đủ trong các điểm cuối của plugin, logic trả về các đối tượng cơ sở dữ liệu đầy đủ thay vì các mảng đã được làm sạch, hoặc lộ các định danh nội bộ (khóa API, mã thông báo hoặc cài đặt đã lưu) qua các điểm cuối AJAX hoặc REST.
Từ phân tích của chúng tôi và các chi tiết tư vấn công khai, các nguyên nhân gốc rễ có khả năng là:
- Thiếu kiểm tra khả năng (ví dụ: sử dụng current_user_can() không đúng cách hoặc không sử dụng) trong các đường dẫn mã trả về cài đặt plugin hoặc dữ liệu liên quan đến người dùng.
- Lộ dữ liệu quá mức từ phản hồi của máy chủ (trả về toàn bộ hàng hoặc đối tượng DB thay vì các trường đã được làm sạch).
- Các điểm cuối REST/API hoặc AJAX có thể truy cập cho vai trò Subscriber (hoặc các kiểm tra vai trò có thể bị bỏ qua).
Bởi vì quyền cần thiết là Subscriber, bề mặt tấn công bao gồm bất kỳ trang nào mà việc đăng ký là mở hoặc nơi bên thứ ba có thể được cấp quyền truy cập Subscriber (người bình luận, nhập người dùng, quy trình đăng ký thành viên, đăng ký bên thứ ba).
Tác động thực tế: những gì một kẻ tấn công có thể làm
Mặc dù điểm CVSS thấp, có những cách thực tiễn mà lỗ hổng có thể bị khai thác:
- Thu thập thông tin cá nhân hoặc thông tin người dùng riêng tư (địa chỉ email, trường hồ sơ) có thể được sử dụng cho lừa đảo hoặc chiếm đoạt tài khoản.
- Khám phá các giá trị cấu hình plugin nội bộ, khóa API hoặc thông tin xác thực SMTP có thể vô tình được lưu trữ trong cài đặt plugin — những điều này có thể tạo điều kiện cho các cuộc tấn công hoặc rò rỉ dữ liệu tiếp theo.
- Đạt được các định danh nội bộ để hỗ trợ trong việc khai thác các lỗ hổng khác (ví dụ: ID người dùng để nâng cao quyền truy cập có mục tiêu).
- Xây dựng dữ liệu trinh sát giúp việc kỹ thuật xã hội và nhồi nhét thông tin xác thực trở nên dễ dàng hơn.
Điểm chính: ngay cả khi lỗ hổng này một mình không hoàn toàn làm tổn hại đến trang web của bạn, nó có thể làm tăng đáng kể tỷ lệ thành công của các cuộc tấn công tiếp theo.
Ai là người có nguy cơ cao nhất?
- Các trang web sử dụng các phiên bản Mail Mint ≤1.19.5.
- Các trang web cho phép đăng ký người dùng hoặc tạo tài khoản Người đăng ký bởi những người dùng không đáng tin cậy.
- Các cài đặt đa trang mà các bản cập nhật plugin không được thực thi tập trung.
- Các trang web mà cài đặt plugin bao gồm thông tin nhạy cảm (thông tin xác thực SMTP, khóa API) và có thể truy cập từ giao diện người dùng hoặc qua các điểm cuối.
Hành động ngay lập tức (trong vòng vài phút)
- Cập nhật plugin lên 1.20.0 (hoặc phiên bản mới nhất có sẵn) — đây là bản sửa lỗi cuối cùng.
- Nếu bạn đã bật cập nhật tự động, hãy xác minh rằng Mail Mint đã cập nhật thành công.
- Nếu bạn không thể cập nhật ngay lập tức, hãy làm theo các biện pháp giảm thiểu bên dưới.
- Chặn hoặc giảm thiểu quyền truy cập qua tường lửa/WAF của bạn (vá ảo).
- Nếu bạn sử dụng Tường lửa Ứng dụng Web (WAF), hãy thêm một quy tắc để chặn các yêu cầu đến các điểm cuối hoặc mẫu plugin bị tổn thương. Xem các quy tắc WAF được đề xuất bên dưới.
- Hạn chế việc đăng ký và tạo Người đăng ký.
- Tạm thời vô hiệu hóa đăng ký công khai (Cài đặt → Chung → Thành viên) hoặc áp dụng quy trình phê duyệt thủ công.
- Nếu bạn cần mở đăng ký, hãy thêm một bước xác minh bổ sung (xác nhận email với mã thông báo và xem xét thủ công).
- Kiểm tra các tài khoản Người đăng ký mới.
- Tìm kiếm các tài khoản đáng ngờ được tạo ra giữa ngày công bố công khai và thời gian cập nhật của bạn và xóa hoặc vô hiệu hóa người dùng đáng ngờ.
- Thực thi mật khẩu mạnh và xác thực hai yếu tố cho người dùng có quyền cao hơn.
- Xoay vòng thông tin xác thực nếu plugin lưu trữ bí mật SMTP/API.
- Nếu plugin lưu trữ thông tin xác thực SMTP hoặc API và bạn nghi ngờ chúng đã bị lộ, hãy xoay vòng những thông tin xác thực đó ngay lập tức.
Quy tắc WAF / vá ảo được đề xuất (ví dụ)
Lưu ý: điều chỉnh những điều này theo cú pháp WAF của bạn (mod_security, Nginx, bảng điều khiển WAF đám mây). Các ví dụ được đưa ra một cách thận trọng và nhằm chặn các yêu cầu nghi ngờ đến các điểm cuối của plugin trong khi giảm thiểu các báo cáo sai.
- Chặn truy cập vào đường dẫn tệp / điểm cuối của plugin:
- Mẫu: các yêu cầu bao gồm
/wp-content/plugins/mail-mint/và nhắm đếnadmin-ajax.php,wp-json, hoặc các tệp PHP cụ thể của plugin trong các ngữ cảnh không mong đợi. - Ví dụ mod_security (khái niệm):
SecRule REQUEST_URI "@contains /wp-content/plugins/mail-mint/" "id:1001001,phase:1,deny,log,msg:'Chặn các đường dẫn plugin Mail Mint cho đến khi được vá'"
- Mẫu: các yêu cầu bao gồm
- Chặn việc lộ thông số AJAX/REST nghi ngờ:
- Nếu bạn biết tên điểm cuối, hãy chặn hoặc yêu cầu quyền cao hơn:
- Ví dụ:
SecRule REQUEST_URI "@rx /wp-json/mailmint/v1/" "id:1001002,phase:1,deny,log,msg:'Chặn điểm cuối REST Mail Mint'"
- Yêu cầu xác thực trên các điểm cuối của plugin:
- Nếu điểm cuối chỉ nên dành cho quản trị viên, hãy chặn các yêu cầu trừ khi cookie chỉ ra một quản trị viên đã xác thực (kiểm tra cookie phiên).
- Ví dụ:
SecRule REQUEST_URI "@rx /wp-content/plugins/mail-mint/.+" "chain,deny,log,id:1001003,msg:'Các điểm cuối Mail Mint được bảo vệ'; SecRule REQUEST_COOKIES:wordpress_logged_in "!@rx admin|administrator""
- Giới hạn tỷ lệ hành vi người dùng nghi ngờ:
- Giới hạn số lần gọi đến các điểm cuối từ cùng một IP hoặc tác nhân người dùng.
- Ví dụ: từ chối truy cập lặp lại > 10 yêu cầu đến điểm cuối của plugin trong vòng 60 giây.
Quan trọng: Hãy kiểm tra các quy tắc trong môi trường staging trước. Patching ảo chỉ là giải pháp tạm thời — plugin vẫn cần được cập nhật.
Phát hiện: dấu hiệu cho thấy trang web của bạn có thể đã bị thăm dò hoặc dữ liệu đã bị truy cập
- Các yêu cầu không mong đợi trong nhật ký truy cập tham chiếu đến các đường dẫn plugin (ví dụ,
/wp-content/plugins/mail-mint/,/wp-admin/admin-ajax.phpvới các hành động cụ thể của plugin). - Các cuộc gọi đến các điểm cuối REST hoặc admin-ajax từ các tài khoản có vai trò Người đăng ký mà bình thường không bao giờ thực hiện các cuộc gọi như vậy.
- Các tài khoản Người đăng ký mới được tập trung trong một khoảng thời gian ngắn.
- Các kết nối ra ngoài từ trang web đến các máy chủ không xác định (cho thấy khả năng rò rỉ dữ liệu).
- Thay đổi trong cài đặt plugin hoặc cấu hình SMTP/API (kiểm tra thời gian sửa đổi cuối cùng).
Nơi để tìm:
- Nhật ký truy cập máy chủ web (Apache/Nginx)
- WordPress debug.log (nếu được bật)
- Nhật ký plugin bảo mật
- Nhật ký cơ sở dữ liệu (nếu có)
- Nhật ký bảng điều khiển hosting
Nếu bạn tìm thấy các chỉ số của sự xâm phạm, hãy đóng băng môi trường (đưa trang web vào chế độ bảo trì), sao lưu và tiến hành điều tra toàn diện hoặc thuê một người phản ứng sự cố có kinh nghiệm.
Khắc phục: các bước để hoàn toàn sửa chữa vấn đề
- Nâng cấp Mail Mint lên phiên bản 1.20.0 (hoặc mới hơn).
- Xác nhận nâng cấp đã hoàn tất thành công và xóa bộ nhớ cache.
- Kiểm tra cấu hình plugin sau khi nâng cấp.
- Xác nhận không còn bí mật nhạy cảm nào trong cấu hình plugin một cách không cần thiết.
- Di chuyển bất kỳ thông tin xác thực nào đến các vị trí an toàn — biến môi trường hoặc các dịch vụ như trình quản lý bí mật nếu máy chủ của bạn hỗ trợ chúng.
- Xem xét vai trò và khả năng của người dùng.
- Đảm bảo vai trò Người đăng ký chỉ có những khả năng tối thiểu.
- Cân nhắc sử dụng các plugin quản lý vai trò để hạn chế các khả năng không cần thiết.
- Xem xét mã và các điểm cuối được lộ ra cho người dùng có quyền hạn thấp.
- Các tác giả plugin nên đảm bảo các điểm cuối thực hiện kiểm tra khả năng (ví dụ, current_user_can(‘manage_options’) khi phù hợp) và làm sạch các phản hồi.
- Xoay bất kỳ thông tin xác thực bên ngoài nào có thể bị lộ (SMTP, khóa API, bí mật webhook).
- Ngay cả khi dữ liệu chính xác bị lộ không rõ, việc xoay vòng giảm thiểu rủi ro.
- Tăng cường bảo mật toàn bộ trang web:
- Thực thi quyền tối thiểu cho tất cả người dùng.
- Sử dụng xác thực hai yếu tố (2FA) cho tài khoản quản trị viên và biên tập viên.
- Sao lưu định kỳ và quy trình khôi phục đã được kiểm tra.
- Giữ cho tất cả các chủ đề, plugin và lõi được cập nhật.
Khóa quyền truy cập cấp người đăng ký (mẹo thực tiễn)
- Ngăn chặn tải lên tệp cho Người đăng ký.
- Xóa các khả năng như unfiltered_html hoặc edit_posts nếu quy trình làm việc của trang web của bạn cho phép.
- Sử dụng plugin thành viên để thêm các bước phê duyệt trước khi tài khoản nhận vai trò Người đăng ký.
- Triển khai CAPTCHA hoặc phát hiện bot trên các biểu mẫu đăng ký để giảm thiểu việc tạo tài khoản tự động.
Dành cho các nhà cung cấp dịch vụ lưu trữ và các cơ quan
Nếu bạn quản lý nhiều trang web của khách hàng:
- Chạy tìm kiếm toàn bộ trang web để kiểm tra sự hiện diện của Mail Mint và xác minh các phiên bản.
- Đẩy cập nhật từ trung tâm khi có thể.
- Áp dụng quy tắc WAF khẩn cấp ở cấp độ máy chủ để bảo vệ tất cả các trang web của khách hàng trong khi khách hàng cập nhật.
- Giao tiếp chủ động với khách hàng, giải thích rủi ro và các hành động bạn đã thực hiện.
Danh sách kiểm tra ứng phó sự cố (nếu bạn nghi ngờ bị khai thác)
- Đưa trang web vào chế độ bảo trì (ngăn chặn các ghi chép/đăng ký tiếp theo).
- Chụp ảnh hiện tại của trang web (tệp + cơ sở dữ liệu) để phân tích pháp y.
- Xoay tất cả mật khẩu cho người dùng quản trị và các dịch vụ bên ngoài liên quan.
- Xoay các khóa SMTP/API được lưu trữ bởi các plugin.
- Xóa các tài khoản Người đăng ký nghi ngờ và bất kỳ tài khoản nào được tạo ra xung quanh thời điểm có hoạt động nghi ngờ.
- Chạy quét phần mềm độc hại (WP-Firewall và các lớp khác) và xem xét nhật ký quét.
- Kiểm tra tính toàn vẹn của trang (so sánh các tệp với các bản sao lưu sạch).
- Khôi phục về một bản sao lưu đã biết là tốt nếu bạn phát hiện vấn đề về tính toàn vẹn.
- Xem xét nhật ký để xác định dữ liệu nào có thể đã bị truy cập và thông báo cho các bên bị ảnh hưởng nếu được yêu cầu bởi luật/pháp quy.
Khuyến nghị lâu dài: giảm bề mặt tấn công và khả năng khai thác.
- Áp dụng chính sách thử nghiệm và triển khai cập nhật plugin trong các SLA xác định (ví dụ: cập nhật quan trọng/bản vá trong vòng 24–48 giờ).
- Sử dụng phương pháp bảo mật nhiều lớp: cấu hình WordPress cứng cáp + WAF + quét điểm cuối + sao lưu + giám sát.
- Sử dụng triển khai theo giai đoạn cho các bản cập nhật trên các trang có lưu lượng truy cập cao hoặc phức tạp (thử nghiệm, sau đó là sản xuất).
- Duy trì danh sách các plugin và phiên bản. Xóa các plugin không sử dụng.
- Giới hạn hoặc kiểm tra mã của bên thứ ba và đảm bảo các nhà cung cấp plugin tuân theo các thực hành vòng đời phát triển an toàn.
- Áp dụng nguyên tắc quyền tối thiểu cho các vai trò và khả năng trên WordPress.
Cách chúng tôi (WP‑Firewall) bảo vệ khách hàng khỏi những loại mối đe dọa này.
Là một nhà cung cấp tường lửa WordPress và đội ngũ bảo mật, chúng tôi tập trung vào việc giảm thiểu sự tiếp xúc và thời gian phản hồi của khách hàng:
- Phát hiện nhanh: chúng tôi theo dõi các thông báo lỗ hổng và tự động quét danh sách plugin của khách hàng.
- Vá ảo: chúng tôi có thể nhanh chóng triển khai các quy tắc WAF tạm thời để chặn các vectơ khai thác đã biết cho một plugin trong khi khách hàng cập nhật.
- Quét tự động: quét phần mềm độc hại liên tục và kiểm tra tính toàn vẹn giúp phát hiện các thay đổi bất thường nhanh chóng.
- Hướng dẫn và hỗ trợ khắc phục: hướng dẫn khắc phục từng bước và hỗ trợ thực hành cho các gói cao cấp hơn.
- Giám sát và cảnh báo: chúng tôi theo dõi các yêu cầu và hành vi điểm cuối để tìm dấu hiệu của việc do thám hoặc lạm dụng.
Nếu bạn là người dùng WP‑Firewall, hệ thống của chúng tôi sẽ đánh dấu các phiên bản plugin dễ bị tổn thương và, khi được phép, có thể tự động áp dụng các biện pháp giảm thiểu. Nếu bạn chưa phải là khách hàng, hãy xem đoạn văn dưới đây để tìm hiểu cách bắt đầu với gói miễn phí của chúng tôi.
Câu hỏi thường gặp
Q: Tôi là một blog nhỏ với chỉ một vài người dùng. Tôi có cần lo lắng không?
A: Có. Những kẻ tấn công thường nhắm vào các trang web có lưu lượng truy cập thấp vì chúng có thể dễ bị xâm phạm hơn. Nếu trang web của bạn có plugin dễ bị tổn thương và cho phép tài khoản hoặc đăng ký cấp Đăng ký, bạn nên hành động.
Q: Trang web của tôi không cho phép đăng ký công khai. Tôi có an toàn không?
A: Rủi ro của bạn giảm nhưng không bị loại bỏ. Tài khoản Đăng ký vẫn có thể được tạo ra bởi các quy trình quản trị (nhập khẩu hoặc bởi các plugin khác). Nếu một kẻ tấn công đã kiểm soát một tài khoản cấp Đăng ký, họ có thể khai thác lỗ hổng.
Hỏi: Việc vá ảo có làm hỏng chức năng của plugin không?
A: Các bản vá ảo được thiết kế để giảm rủi ro trong khi vẫn giữ nguyên chức năng. Các quy tắc bảo thủ có thể chỉ chặn các đường dẫn khai thác cụ thể. Luôn kiểm tra trên môi trường staging nếu có thể.
Q: Tôi có nên gỡ cài đặt Mail Mint không?
A: Nếu bạn không cần plugin, gỡ cài đặt là lựa chọn an toàn nhất. Nếu plugin là cần thiết, hãy cập nhật ngay lập tức và áp dụng các biện pháp giảm thiểu đã mô tả.
Ví dụ về thời gian & tiết lộ có trách nhiệm (ngữ cảnh)
- Các nhà nghiên cứu bảo mật đã báo cáo vấn đề cho nhà cung cấp plugin (tiết lộ riêng tư).
- Nhà cung cấp đã phát hành một bản vá trong Mail Mint 1.20.0 để sửa lỗi kiểm soát truy cập / lộ dữ liệu.
- Thông báo công khai/CVE đã được công bố (CVE-2026-27349).
- Các nhà cung cấp bảo mật và nhà cung cấp dịch vụ đã phát đi cảnh báo sớm và hướng dẫn giảm thiểu.
Đây là vòng đời tiết lộ có trách nhiệm chung. Việc vá lỗi kịp thời và giảm thiểu phối hợp giúp giảm thiểu tác động.
Ví dụ thực tiễn: các mục nhật ký cần tìm
- Mẫu nhật ký truy cập: GET /wp-content/plugins/mail-mint/some-endpoint.php?param=…
- Yêu cầu admin-ajax: POST /wp-admin/admin-ajax.php?action=mail_mint_action
- Các cuộc gọi REST: GET /wp-json/mailmint/v1/settings
- Nhiều yêu cầu từ cùng một IP tạo ra người dùng Đăng ký: POST /wp-login.php?action=register
Nếu bạn thấy những điều này, hãy thu thập nhật ký và hành động nhanh chóng.
Sau khi khắc phục: nghĩa vụ tuân thủ và tiết lộ
Nếu bạn xác định rằng dữ liệu nhạy cảm đã bị lộ (dữ liệu cá nhân), hãy xem xét nghĩa vụ pháp lý của bạn:
- Các luật bảo vệ dữ liệu (ví dụ: GDPR) có thể yêu cầu thông báo cho các cơ quan bảo vệ dữ liệu và người dùng bị ảnh hưởng.
- Duy trì tài liệu về thời gian sự cố, các bước giảm thiểu đã thực hiện và biện pháp khắc phục cuối cùng.
Làm việc với cố vấn pháp lý nếu bạn không chắc chắn.
Tóm tắt kết thúc
- Cập nhật Mail Mint lên phiên bản 1.20.0 hoặc mới hơn ngay lập tức — đó là cách sửa chữa duy nhất được đảm bảo.
- Nếu bạn không thể cập nhật ngay lập tức, hãy áp dụng vá lỗi ảo thông qua WAF và hạn chế việc tạo người đăng ký.
- Thay đổi bất kỳ thông tin xác thực nào có thể đã bị lộ và kiểm tra tài khoản người dùng.
- Sử dụng bảo mật nhiều lớp (WAF, quét, giám sát, sao lưu, quyền tối thiểu) để giảm thiểu rủi ro của các vấn đề tương tự trong tương lai.
Khóa trang web của bạn ngay hôm nay — Kế hoạch miễn phí WP‑Firewall
Nếu bạn muốn có một lớp bảo vệ bổ sung ngay lập tức trong khi cập nhật và kiểm tra các plugin, hãy xem xét bắt đầu với kế hoạch WP‑Firewall Basic (Miễn phí) của chúng tôi. Nó bao gồm bảo vệ thiết yếu phù hợp cho blog và các trang nhỏ:
- Bảo vệ thiết yếu: tường lửa được quản lý, băng thông không giới hạn, WAF
- Trình quét phần mềm độc hại liên tục
- Giảm thiểu rủi ro OWASP Top 10
- Không tốn chi phí để bắt đầu — kích hoạt nhanh
Kế hoạch miễn phí của chúng tôi cho phép bạn có được bảo vệ trong khi bạn áp dụng các bản cập nhật và các bước tăng cường được khuyến nghị ở trên. Bắt đầu bảo vệ trang web của bạn tại đây: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Nếu bạn cần thêm sự trợ giúp trực tiếp, các kế hoạch Standard và Pro của chúng tôi thêm vào việc loại bỏ phần mềm độc hại tự động, kiểm soát IP cho phép/cấm, vá lỗi ảo lỗ hổng, báo cáo hàng tháng và hỗ trợ bảo mật.
Phụ lục
Phụ lục A — Lệnh gợi ý để tìm phiên bản plugin trong cơ sở dữ liệu
- Truy vấn bảng wp_options cho active_plugins (mảng tuần tự) để xác nhận plugin và phiên bản nếu bạn không thể đăng nhập vào giao diện quản trị.
Phụ lục B — Liên hệ với nhà cung cấp plugin & báo cáo
- Nếu bạn phát hiện thêm chi tiết hoặc hành vi đáng ngờ, hãy báo cáo chúng cho nhà cung cấp plugin và nhà cung cấp bảo mật của bạn. Giữ lại hồ sơ về các cuộc giao tiếp của bạn.
Phụ lục C — Đọc thêm và tài nguyên
- OWASP Top 10 — Hướng dẫn về việc lộ dữ liệu nhạy cảm
- Danh sách kiểm tra tăng cường WordPress: giới hạn quyền truy cập tệp, bảo mật wp-config.php, vô hiệu hóa chỉnh sửa tệp, thực thi thông tin xác thực mạnh, kích hoạt 2FA
- Các thực tiễn tốt nhất về điều chỉnh WAF và vá ảo (theo tài liệu của nhà cung cấp để có cú pháp quy tắc chính xác)
Nếu bạn cần hỗ trợ đánh giá trang web của mình, áp dụng các quy tắc WAF khẩn cấp hoặc thực hiện đánh giá sự cố, các kỹ sư bảo mật của chúng tôi có thể giúp. Chúng tôi khuyên bạn nên ưu tiên cập nhật plugin ngay lập tức và sử dụng bảo vệ nhiều lớp cho đến khi bạn tự tin rằng trang web đã an toàn.
