Tên plugin	Cho phép HTML trong mô tả danh mục
Loại lỗ hổng	Tấn công xuyên trang web (XSS)
Số CVE	CVE-2026-0693
Tính cấp bách	Thấp
Ngày xuất bản CVE	2026-02-13
URL nguồn	CVE-2026-0693

Khẩn cấp: Lỗ hổng XSS lưu trữ trong “Cho phép HTML trong mô tả danh mục” (<= 1.2.4) — Những gì chủ sở hữu trang WordPress cần làm ngay bây giờ

Bản tóm tắt: Một lỗ hổng Cross-Site Scripting (XSS) lưu trữ (CVE-2026-0693) đã được công bố trong plugin WordPress “Cho phép HTML trong mô tả danh mục” (các phiên bản <= 1.2.4). Một người dùng đã xác thực với quyền quản trị viên có thể chèn HTML/JavaScript độc hại vào mô tả danh mục mà sau này có thể thực thi trong trình duyệt của khách truy cập hoặc các quản trị viên khác. Hiện tại không có bản vá chính thức cho các phiên bản bị ảnh hưởng. Bài viết này giải thích chi tiết kỹ thuật, kịch bản đe dọa, biện pháp giảm thiểu ngay lập tức, các bước phát hiện và dọn dẹp, và tăng cường lâu dài — từ góc độ của WP‑Firewall, một nhà cung cấp bảo mật WordPress chuyên dụng.

Lưu ý: Nếu bạn chạy plugin này và có phiên bản bị ảnh hưởng được cài đặt, hãy coi đây là một nhiệm vụ bảo mật trang web ưu tiên cao — mặc dù lỗ hổng yêu cầu quyền quản trị viên, nhưng tác động có thể đáng kể trong thực tế.

Lỗ hổng là gì?

Loại: Cross-Site Scripting (XSS) lưu trữ.
Thành phần bị ảnh hưởng: Plugin WordPress “Cho phép HTML trong mô tả danh mục” — các phiên bản <= 1.2.4.
CVE: CVE-2026-0693.
CVSS: 5.9 (trung bình), Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:L.
Nguyên nhân gốc rễ: Plugin cho phép các quản trị viên lưu HTML không được lọc trong mô tả phân loại mà không có quy trình làm sạch hoặc mã hóa đầu ra thích hợp. JavaScript độc hại được lưu trữ trong mô tả danh mục có thể được thực thi trong ngữ cảnh của một trang hiển thị mô tả đó (giao diện người dùng hoặc một số chế độ xem quản trị), cho phép đánh cắp cookie, lạm dụng quyền hạn, hoặc các hành động được thực hiện với phiên trình duyệt của nạn nhân.

Tại sao điều này lại quan trọng: Các quản trị viên là tài khoản đáng tin cậy, và một kẻ tấn công có thể khiến một người dùng có quyền hạn thực hiện một hành động (hoặc có thể tự mình hành động như một quản trị viên bị xâm phạm) có thể duy trì các tập lệnh độc hại làm tổn hại đến các người dùng quản trị khác hoặc khách truy cập trang web. Ngay cả khi một hành động chỉ dành cho quản trị viên được yêu cầu để kích hoạt lỗ hổng, hậu quả có thể dao động từ việc làm xấu trang web và các chiến dịch chuyển hướng đến việc chiếm đoạt toàn bộ trang web.

Cách một kẻ tấn công có thể khai thác điều này

Quy trình khai thác điển hình:

Kẻ tấn công có được hoặc xâm phạm một tài khoản Quản trị viên (lừa đảo, mật khẩu tái sử dụng, nội bộ, v.v.), hoặc lừa một quản trị viên thực hiện một hành động dẫn đến việc tải trọng được lưu trữ (xem lưu ý tương tác người dùng bên dưới).
Sử dụng giao diện plugin (màn hình chỉnh sửa danh mục) hoặc một điểm truy cập khác cập nhật mô tả phân loại, kẻ tấn công chèn một tải trọng vào trường mô tả danh mục — ví dụ, <script>…</script> hoặc một SVG với trình xử lý onload/onerror, hoặc một tải trọng dựa trên thuộc tính như onmouseover, srcset, hoặc javascript: URIs.
Tải trọng được lưu trữ trong cơ sở dữ liệu (term_taxonomy.description).
Khi một quản trị viên hoặc khách truy cập xem trang danh mục (hoặc bất kỳ trang quản trị nào hiển thị mô tả đó), tập lệnh chạy trong trình duyệt của họ trong nguồn gốc của trang web.
Script độc hại có thể:
- Thu thập cookie/localStorage và gửi chúng đến một máy chủ từ xa.
- Sử dụng phiên trình duyệt đã xác thực của nạn nhân để gọi các điểm cuối WordPress REST hoặc các điểm cuối AJAX (có thể tạo người dùng, cài đặt plugin hoặc sửa đổi tùy chọn) nếu các yêu cầu mục tiêu thiếu kiểm tra nonce hoặc kiểm tra khả năng thích hợp.
- Tiêm thêm nội dung độc hại (quảng cáo, chuyển hướng, biểu mẫu thu thập thông tin đăng nhập).
- Sửa đổi các trang quản trị hoặc tiêm backdoor tồn tại sau khi gỡ bỏ script ban đầu.

Sự tinh tế quan trọng: Nhiều cài đặt WordPress hiện đại thiết lập cookie xác thực là HttpOnly, ngăn chặn việc truy cập cookie trực tiếp bởi JS. Tuy nhiên, JavaScript vẫn có thể thực hiện các yêu cầu đã xác thực (fetch/XHR) nếu không có bảo vệ cùng nguồn gốc và nonce hoặc có thể bị đánh cắp qua các vectơ khác. Kẻ tấn công có thể kết hợp XSS với các kiểm soát yếu khác để đạt được quyền nâng cao hoặc xâm phạm hoàn toàn.

Tương tác của người dùng: Lỗ hổng được phân loại là yêu cầu tương tác của người dùng trong một số tài liệu — thường thì một người dùng có quyền có thể cần truy cập một trang cụ thể hoặc nhấp vào một liên kết được tạo ra để kích hoạt thực thi. Dù sao đi nữa, XSS lưu trữ là bền vững và có thể được kích hoạt tự động khi các trang được tải (không cần nhấp thêm bởi một khách truy cập).

Hành động ngay lập tức, ưu tiên (trong vòng một giờ tới)

Vô hiệu hóa plugin ngay bây giờ
- Truy cập vào trang web của bạn (wp-admin → Plugins) và ngay lập tức vô hiệu hóa plugin “Cho phép HTML trong mô tả danh mục”.
- Nếu bạn không thể truy cập bảng điều khiển quản trị, hãy vô hiệu hóa qua FTP hoặc trình quản lý tệp hosting bằng cách đổi tên thư mục plugin: wp-content/plugins/allow-html-in-category-descriptions → thêm -vô hiệu hóa.
Đặt trang web vào chế độ bảo trì (nếu phù hợp)
- Nếu bạn nghi ngờ có khai thác đang hoạt động (chuyển hướng hiển thị, làm hỏng giao diện, nội dung spam), hãy xem xét việc tạm thời chặn truy cập công cộng trong khi bạn điều tra.
Kiểm tra và thay đổi thông tin đăng nhập quản trị
- Buộc đặt lại mật khẩu cho tất cả các tài khoản Quản trị viên.
- Nếu bạn có hoạt động quản trị đáng ngờ, hãy thu hồi phiên và mã thông báo (Người dùng → Tất cả Người dùng → cho mỗi quản trị viên, “Đăng xuất ở mọi nơi” hoặc sử dụng một plugin để hết hạn phiên).
- Thực thi mật khẩu mạnh và kích hoạt Xác thực Hai yếu tố (2FA) cho các tài khoản quản trị.
Chặn các yêu cầu mới cố gắng lưu payload XSS
- Nếu bạn chạy một Tường lửa Ứng dụng Web (WAF) hoặc có thể nhanh chóng triển khai lọc yêu cầu tại máy chủ hoặc CDN (hoặc thông qua các quy tắc WP‑Firewall), hãy chặn các yêu cầu POST cố gắng lưu mô tả danh mục chứa các mẫu giống như script. Xem các quy tắc WAF được đề xuất ở phần sau của bài viết này.
Sao lưu trang web của bạn (tệp + DB)
- Tạo một bản sao lưu đầy đủ trước khi sửa đổi hoặc làm sạch trang web. Tốt nhất là xuất cơ sở dữ liệu và tải xuống một bản sao của wp-content và bất kỳ tệp tải lên hoặc tệp tùy chỉnh nào.
Quét ngay lập tức để tìm các chỉ số bị xâm phạm
- Tìm kiếm người dùng, tệp, tác vụ đã lên lịch (công việc wp_cron), giá trị tùy chọn đã thay đổi gần đây và nội dung bị tiêm trên các bài viết, trang và mô tả phân loại.

Điều tra: tìm các mô tả danh mục độc hại và xác định mức độ thiệt hại

Các mô tả danh mục được lưu trữ trong cơ sở dữ liệu; để tìm nội dung đáng ngờ nhanh chóng, hãy chạy tìm kiếm cho nội dung giống như script.

Sử dụng WP‑CLI (được khuyến nghị nếu bạn có quyền truy cập shell):

Tìm kiếm mô tả từ khóa chứa “<script”:

wp db query "SELECT term_taxonomy_id, term_id, description FROM wp_term_taxonomy WHERE description LIKE '%<script%';"

Tìm kiếm các vector XSS phổ biến (onerror, onload, javascript:, data:, svg, iframe, <img>):

wp db query "SELECT term_taxonomy_id, term_id, description FROM wp_term_taxonomy WHERE description REGEXP '(script|onerror|onload|javascript:|data:|iframe|svg|img)';"

Nếu bạn không có WP‑CLI, hãy chạy SQL tương đương trong phpMyAdmin hoặc công cụ cơ sở dữ liệu lưu trữ của bạn.

Cũng kiểm tra:

Bài viết và trang: tìm kiếm nội_dung_bài_viết cho các mẫu tương tự (SELECT ID, post_title FROM wp_posts WHERE post_content REGEXP '(<script|onerror|onload|javascript:)').
Tiện ích và tùy chọn chủ đề: wp_tùy_chọn nội dung bảng cũng có thể chứa HTML bị tiêm.
Tệp plugin/chủ đề cho mã không quen thuộc.

Nếu bạn tìm thấy mô tả đáng ngờ, hãy xuất chúng đến một nơi an toàn (pháp y) trước khi thực hiện các thay đổi hàng loạt.

Làm sạch các mô tả bị nhiễm một cách an toàn

Tùy chọn A — Gỡ bỏ thủ công (được khuyến nghị nếu có ít mục):

Sử dụng wp-admin → Trình chỉnh sửa Bài viết/Thuật ngữ và chỉnh sửa thủ công các mô tả để loại bỏ payload.
Đối với các danh mục: WP Admin → Bài viết → Danh mục → chỉnh sửa mô tả của từng danh mục nghi ngờ.

Tùy chọn B — Dọn dẹp cơ sở dữ liệu (cho dọn dẹp lớn hoặc tự động):

Thay thế các thẻ nguy hiểm bằng SQL (kiểm tra trên bản sao lưu trước):
```
-- Xóa các khối  khỏi mô tả thuật ngữ;
  
```
Xóa các thuộc tính xử lý sự kiện như onload/onerror (điều này có thể phức tạp — hãy xem xét sử dụng một bộ lọc dựa trên PHP để tránh làm hỏng markup).

Tùy chọn C — Làm sạch thông qua một tập lệnh PHP sử dụng các hàm WordPress (an toàn hơn):

Tạo một tập lệnh PHP một lần và chạy nó qua WP-CLI eval-file hoặc hook quản trị:

<?php

Chạy qua:

wp eval-file sanitize-term-descriptions.php

Ghi chú:

Sử dụng wp_kses với một tập hợp thẻ được phép hạn chế nghiêm ngặt an toàn hơn so với việc cố gắng loại bỏ thuộc tính bằng regex thủ công.
Kiểm tra các thay đổi trên một trang thử nghiệm hoặc bản sao lưu trước.

Các quy tắc WAF phòng thủ được đề xuất và vá ảo ngắn hạn

Nếu bạn sử dụng WAF (máy chủ quản lý, CDN hoặc WP‑Firewall), hãy thêm các quy tắc để chặn các nỗ lực lưu trữ payload đáng ngờ hoặc chặn việc hiển thị nội dung được biết là đáng ngờ.

Các phương pháp phát hiện đơn giản:

Chặn các yêu cầu POST đến wp-admin/term.php hoặc các điểm cuối REST được sử dụng để lưu mô tả thuật ngữ chứa <script, onerror=, đang tải =, javascript:, data:text/html, svg/onload, iframe, hoặc đáng ngờ src thuộc tính với dữ liệu:/javascript:.
Chặn các yêu cầu bao gồm <svg với các trình xử lý sự kiện, hoặc style="background:url(javascript: tiêm kiểu.

Quy tắc kiểu ModSecurity ví dụ (mã giả — điều chỉnh cho môi trường của bạn):

# Chặn các nỗ lực lưu mô tả danh mục chứa  hoặc trình xử lý sự kiện"

Đối với các điểm cuối REST (nếu plugin cung cấp REST hoặc sử dụng admin-ajax):

# Chặn các tải trọng nghi ngờ trong các yêu cầu REST"

Cách tiếp cận cụ thể của WP‑Firewall:

Thêm một quy tắc kiểm tra các yêu cầu đến các điểm cuối cập nhật phân loại cho mô tả tham số và chặn nếu nó khớp với các mẫu XSS (có thể cấu hình).
Bật kiểm tra nội dung yêu cầu và thêm quy tắc tùy chỉnh để làm sạch hoặc chặn việc lưu các thẻ/thuộc tính không được phép.

Quan trọng: Các quy tắc WAF là một biện pháp tạm thời. Chúng giảm rủi ro trong khi bạn gỡ bỏ plugin hoặc vá trang web, nhưng chúng không thay thế việc loại bỏ mã dễ bị tổn thương.

Phát hiện: những gì cần tìm sau khi dọn dẹp

Người dùng quản trị không mong đợi hoặc tài khoản mới với vai trò cao hơn.
Các tác vụ đã lên lịch chạy mã không xác định (kiểm tra wp_tùy_chọn các mục cron và wp_cron).
Các plugin hoặc chủ đề không mong đợi được cài đặt/thay đổi (so sánh checksum tệp với các phiên bản trong kho).
Kết nối ra ngoài và tra cứu DNS nghi ngờ từ máy chủ của bạn.
Các yêu cầu trong nhật ký phản ánh mẫu tải trọng hoặc bao gồm chuyển hướng hoặc điểm cuối rò rỉ nghi ngờ.
Dấu thời gian hoạt động quản trị bất thường, IP hoặc các nỗ lực đăng nhập không thành công.

Các lệnh WP‑CLI hữu ích:

Liệt kê người dùng và vai trò:
```
wp user list --role=administrator
```
Hiển thị các sự kiện cron gần đây:
```
wp cron event list --due-now
```
Kiểm tra các tệp plugin/theme đã thay đổi (nếu bạn có một tham chiếu sạch):
```
wp plugin xác minh-bảng kiểm tra plugin-slug
```

Danh sách kiểm tra phản ứng sự cố & phục hồi

Cách ly trang web (chế độ bảo trì hoặc chặn tạm thời) nếu nghi ngờ có khai thác.
Sao lưu đầy đủ (tệp + DB) và bảo quản bản sao để xem xét pháp y.
Ngay lập tức vô hiệu hóa plugin dễ bị tổn thương.
Làm sạch các mục trong cơ sở dữ liệu (mô tả thuật ngữ, bài viết, tùy chọn).
Thay đổi tất cả mật khẩu quản trị viên và khóa API. Thu hồi và cấp lại bất kỳ mã thông báo nào bị xâm phạm.
Kích hoạt 2FA cho tất cả các tài khoản có quyền; giới hạn số lượng tài khoản quản trị viên.
Xem xét và loại bỏ bất kỳ cửa hậu nào (tệp PHP không mong đợi, mã base64/được mã hóa).
Cài đặt lại lõi WordPress, các chủ đề và plugin từ các nguồn đáng tin cậy nếu phát hiện có can thiệp.
Khôi phục từ một bản sao lưu đã biết tốt nếu không thể khôi phục độ toàn vẹn của trang web một cách tự tin.
Theo dõi nhật ký và hành vi của trang web chặt chẽ trong một khoảng thời gian sau khi khắc phục.

Nếu bạn không thoải mái thực hiện các bước này, hãy thuê một chuyên gia hoặc dịch vụ bảo mật WordPress đáng tin cậy.

Giảm thiểu và tăng cường lâu dài

Nguyên tắc quyền tối thiểu: Cấp vai trò Quản trị viên một cách hạn chế. Sử dụng vai trò Biên tập viên hoặc vai trò tùy chỉnh cho việc chỉnh sửa nội dung hàng ngày khi có thể.
Giới hạn đầu vào HTML không đáng tin cậy: Tránh các plugin cho phép HTML tùy ý từ người dùng có quyền. Khi HTML là cần thiết, thực thi việc làm sạch nghiêm ngặt bằng cách sử dụng wp_kses với danh sách cho phép nhỏ.
Giữ số lượng plugin và chủ đề ở mức tối thiểu và chỉ cài đặt từ các nguồn uy tín. Thường xuyên kiểm tra các plugin đã cài đặt và loại bỏ những cái không sử dụng.
Sử dụng kiểm soát phiên bản và giám sát tính toàn vẹn tệp để phát hiện các thay đổi trái phép đối với các tệp chủ đề và plugin.
Sử dụng các phương pháp xác thực an toàn: 2FA, mật khẩu mạnh, trình quản lý mật khẩu và giám sát việc sử dụng tài khoản.
Tăng cường REST API và các điểm cuối AJAX: Đảm bảo kiểm tra nonce và khả năng trên các trình xử lý phía máy chủ.
Triển khai bảo vệ WAF và quét phần mềm độc hại liên tục — lý tưởng là với việc kiểm tra nội dung yêu cầu để phát hiện các payload được chèn vào trong các yêu cầu POST.
Theo dõi các thông báo lỗ hổng cho các plugin bạn sử dụng; đăng ký các danh sách gửi thư bảo mật đáng tin cậy hoặc thông báo dịch vụ.

Đoạn mã mẫu PHP để tăng cường bảo mật cho theme hoặc mu-plugin

Nếu bạn muốn ngăn chặn việc lưu HTML vào mô tả thuật ngữ ở cấp độ ứng dụng WordPress (một biện pháp tăng cường tạm thời nếu bạn không thể gỡ bỏ plugin ngay lập tức), bạn có thể loại bỏ các thẻ không an toàn khi tạo/cập nhật thuật ngữ:

Tạo một mu-plugin (plugin phải sử dụng) wp-content/mu-plugins/sanitize-term-descriptions.php:

<?php
/*
Plugin Name: Sanitize Term Descriptions - emergency
Description: Strip dangerous HTML from term descriptions as an emergency stopgap.
Author: WP-Firewall Security Team
*/

add_action('created_term', 'wf_sanitize_term_description', 10, 3);
add_action('edited_term', 'wf_sanitize_term_description', 10, 3);

function wf_sanitize_term_description($term_id, $tt_id = 0, $taxonomy = '') {
    $term = get_term($term_id, $taxonomy);
    if (!$term) {
        return;
    }
    // Allow only minimal HTML
    $allowed = array(
        'a' => array('href' => true, 'title' => true, 'rel' => true, 'target' => true),
        'br' => array(),
        'p' => array(),
        'b' => array(),
        'strong' => array(),
        'i' => array(),
        'em' => array(),
    );
    $clean = wp_kses($term->description, $allowed);
    if ($clean !== $term->description) {
        wp_update_term($term_id, $taxonomy, array('description' => $clean));
    }
}
?>

Điều này sẽ chủ động làm sạch các mô tả khi các thuật ngữ được tạo hoặc chỉnh sửa. Đây là một biện pháp khẩn cấp — đừng dựa vào nó lâu dài nếu plugin cho phép chỉnh sửa HTML phong phú.

Cách WP‑Firewall giúp (tổng quan ngắn gọn)

Là một nhà cung cấp bảo mật WordPress, WP‑Firewall cung cấp các quy tắc WAF được quản lý, quét phần mềm độc hại và vá ảo có thể phát hiện và chặn các nỗ lực khai thác mẫu XSS lưu trữ này (các payload được lưu qua chỉnh sửa phân loại, REST hoặc POST của quản trị viên). Dịch vụ của chúng tôi có thể:

Phát hiện các yêu cầu POST cố gắng lưu các vector XSS đã biết trong mô tả phân loại.
Áp dụng các bản vá ảo (chữ ký WAF) được điều chỉnh theo hành vi của plugin để ngăn chặn khai thác ngay lập tức — ngay cả trước khi nhà cung cấp plugin phát hành bản vá.
Chạy quét tự động trên trang để tìm các mô tả phân loại đáng ngờ, tệp độc hại và cửa hậu.
Cung cấp các đề xuất khắc phục và hướng dẫn làm sạch từng bước.

Nếu bạn đã có một WAF, hãy đảm bảo nó kiểm tra các nội dung yêu cầu POST và payload REST/AJAX — nhiều thiết lập mặc định không làm như vậy.

Ví dụ về các chữ ký phát hiện để theo dõi trong nhật ký

Các nội dung yêu cầu chứa <script hoặc javascript: kết hợp với wp-admin/term.php, rest các điểm cuối, hoặc admin-ajax.php.
Các POST của quản trị viên bao gồm mô tả với các thuộc tính nghi ngờ (onerror=, đang tải =, dữ liệu:).
Tăng đột biến số lượng yêu cầu đến các trang phân loại dẫn đến chuyển hướng hoặc gọi đến các miền không xác định.
Tạo hoặc sửa đổi các thuật ngữ vào những giờ không bình thường hoặc từ các địa chỉ IP không phổ biến.

Các kịch bản tác động thực tế

Kịch bản A: Một kẻ tấn công chèn một đoạn mã vào mô tả danh mục tạo ra một người dùng quản trị mới bằng cách gọi các điểm cuối AJAX quản trị bằng trình duyệt của quản trị viên nạn nhân. Kết quả: chiếm quyền kiểm soát toàn bộ trang web.
Kịch bản B: Đoạn mã tải JS độc hại từ bên ngoài và chuyển hướng người dùng đến các trang đích adware hoặc lừa đảo, gây hại cho danh tiếng trang web và SEO.
Kịch bản C: Đoạn mã thu thập thông tin đầu vào từ biểu mẫu hoặc thông tin phiên và xuất ra các miền do kẻ tấn công kiểm soát, cho phép các cuộc tấn công nhắm mục tiêu sau này.

Đây là những hậu quả thực tế ngay cả khi vector khai thác ban đầu yêu cầu hành động của quản trị viên — kẻ tấn công rất khéo léo trong kỹ thuật xã hội và tái sử dụng thông tin đăng nhập bị đánh cắp.

Lời khuyên phát triển phòng ngừa (dành cho tác giả plugin/theme và các cơ quan)

Không bao giờ tin tưởng vào đầu vào của người dùng — ngay cả từ các quản trị viên. Luôn làm sạch đầu ra bằng cách sử dụng thoát phù hợp với ngữ cảnh (esc_html, esc_attr, wp_kses_post với danh sách cho phép nghiêm ngặt).
Đối với các trường HTML có thể chỉnh sửa, chỉ lưu trữ HTML đã được làm sạch, xác thực và lưu trữ các biến thể an toàn (hoặc sử dụng WYSIWYG làm sạch khi lưu).
Thực hiện kiểm tra khả năng và nonce trên tất cả các điểm cuối phía máy chủ mà thay đổi trạng thái trang web (bộ xử lý admin-ajax, điểm cuối REST).
Thêm các bài kiểm tra đơn vị/tích hợp tự động xung quanh các vector XSS và các luồng làm sạch/thoát trong CI.
Duy trì một kênh tiết lộ có trách nhiệm và chính sách cập nhật để người dùng có thể nhận được các bản sửa lỗi kịp thời.

Tiêu đề mới: Bảo mật trang web của bạn ngay bây giờ — bắt đầu với Kế hoạch Miễn phí WP‑Firewall

Nếu bạn muốn một lớp bảo vệ nhanh chóng, thực tế trong khi điều tra và khắc phục vấn đề này, hãy xem xét Kế hoạch Cơ bản (Miễn phí) của WP‑Firewall. Nó bao gồm các quy tắc tường lửa quản lý thiết yếu, một WAF, quét phần mềm độc hại và giảm thiểu cho các rủi ro OWASP Top 10 — mọi thứ bạn cần để giảm đáng kể bề mặt tấn công và chặn ngay lập tức các nỗ lực khai thác XSS phổ biến. Khám phá kế hoạch miễn phí và đăng ký tại:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Điểm nổi bật của kế hoạch:

Cơ bản (Miễn phí): tường lửa quản lý, băng thông không giới hạn, WAF, quét phần mềm độc hại, giảm thiểu OWASP Top 10.
Tiêu chuẩn ($50/năm): mọi thứ trong Cơ bản + tự động xóa phần mềm độc hại và danh sách đen/trắng IP (20 IP).
Pro ($299/năm): thêm báo cáo hàng tháng, vá ảo tự động, cộng với các tiện ích mở rộng cao cấp như Quản lý Tài khoản Đặc biệt và Dịch vụ Bảo mật Quản lý.

Tóm tắt nhanh & danh sách kiểm tra cuối cùng

Nếu bạn chạy “Cho phép HTML trong Mô tả Danh mục” (<= 1.2.4): ngay lập tức vô hiệu hóa plugin.
Sao lưu trang web (tệp + DB) và lấy các bản sao pháp y.
Quét và làm sạch mô tả thuật ngữ (truy vấn SQL WP‑CLI hoặc script PHP wp_kses).
Thay đổi mật khẩu quản trị viên và kích hoạt 2FA. Thu hồi phiên và mã thông báo API nếu có nghi ngờ.
Triển khai quy tắc WAF để ngăn chặn các POST cố gắng lưu tải trọng giống như script (vá ảo).
Kiểm tra để phát hiện sự xâm phạm thêm (người dùng mới, tệp mới, tùy chọn đã thay đổi).
Xây dựng lại hoặc khôi phục từ một bản sao lưu đã biết là sạch nếu việc can thiệp là rộng rãi.
Thay thế plugin bằng các lựa chọn an toàn hơn hoặc chỉ sử dụng HTML đã được kiểm soát và làm sạch.

Nếu bạn muốn được hỗ trợ trực tiếp với việc phân loại, tạo quy tắc WAF, vá ảo nhanh chóng, hoặc một kế hoạch khắc phục chi tiết, gói Cơ bản của WP‑Firewall sẽ cung cấp cho bạn sự bảo vệ ngay lập tức, được quản lý trong khi bạn thực hiện các bước dọn dẹp ở trên. Bắt đầu gói miễn phí của bạn tại đây: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Giữ an toàn và coi các trường phân loại chấp nhận HTML là đầu vào có rủi ro cao — việc làm sạch và thoát đầu ra nghiêm ngặt là phòng thủ tốt nhất của bạn.

Giảm thiểu XSS trong Plugin Mô tả Danh mục//Xuất bản vào 2026-02-13//CVE-2026-0693

Khẩn cấp: Lỗ hổng XSS lưu trữ trong “Cho phép HTML trong mô tả danh mục” (<= 1.2.4) — Những gì chủ sở hữu trang WordPress cần làm ngay bây giờ

Lỗ hổng là gì?

Cách một kẻ tấn công có thể khai thác điều này

Hành động ngay lập tức, ưu tiên (trong vòng một giờ tới)

Điều tra: tìm các mô tả danh mục độc hại và xác định mức độ thiệt hại

Làm sạch các mô tả bị nhiễm một cách an toàn

Các quy tắc WAF phòng thủ được đề xuất và vá ảo ngắn hạn

Phát hiện: những gì cần tìm sau khi dọn dẹp

Danh sách kiểm tra phản ứng sự cố & phục hồi

Giảm thiểu và tăng cường lâu dài

Đoạn mã mẫu PHP để tăng cường bảo mật cho theme hoặc mu-plugin

Cách WP‑Firewall giúp (tổng quan ngắn gọn)

Ví dụ về các chữ ký phát hiện để theo dõi trong nhật ký

Các kịch bản tác động thực tế

Lời khuyên phát triển phòng ngừa (dành cho tác giả plugin/theme và các cơ quan)

Tiêu đề mới: Bảo mật trang web của bạn ngay bây giờ — bắt đầu với Kế hoạch Miễn phí WP‑Firewall

Tóm tắt nhanh & danh sách kiểm tra cuối cùng

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Giảm thiểu XSS trong Plugin Mô tả Danh mục//Xuất bản vào 2026-02-13//CVE-2026-0693

Khẩn cấp: Lỗ hổng XSS lưu trữ trong “Cho phép HTML trong mô tả danh mục” (<= 1.2.4) — Những gì chủ sở hữu trang WordPress cần làm ngay bây giờ

Lỗ hổng là gì?

Cách một kẻ tấn công có thể khai thác điều này

Hành động ngay lập tức, ưu tiên (trong vòng một giờ tới)

Điều tra: tìm các mô tả danh mục độc hại và xác định mức độ thiệt hại

Làm sạch các mô tả bị nhiễm một cách an toàn

Các quy tắc WAF phòng thủ được đề xuất và vá ảo ngắn hạn

Phát hiện: những gì cần tìm sau khi dọn dẹp

Danh sách kiểm tra phản ứng sự cố & phục hồi

Giảm thiểu và tăng cường lâu dài

Đoạn mã mẫu PHP để tăng cường bảo mật cho theme hoặc mu-plugin

Cách WP‑Firewall giúp (tổng quan ngắn gọn)

Ví dụ về các chữ ký phát hiện để theo dõi trong nhật ký

Các kịch bản tác động thực tế

Lời khuyên phát triển phòng ngừa (dành cho tác giả plugin/theme và các cơ quan)

Tiêu đề mới: Bảo mật trang web của bạn ngay bây giờ — bắt đầu với Kế hoạch Miễn phí WP‑Firewall

Tóm tắt nhanh & danh sách kiểm tra cuối cùng

Nhận WP Security Weekly miễn phí 👋Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!