| Tên plugin | Chia sẻ hình ảnh này |
|---|---|
| Loại lỗ hổng | Tấn công xuyên trang web (XSS) |
| Số CVE | CVE-2024-13362 |
| Tính cấp bách | Thấp |
| Ngày xuất bản CVE | 2026-05-01 |
| URL nguồn | CVE-2024-13362 |
Khẩn cấp: Những điều chủ sở hữu trang WordPress cần biết về plugin Chia sẻ hình ảnh này XSS (CVE-2024-13362)
Được xuất bản: 1 tháng 5, 2026 — bởi đội ngũ bảo mật WP‑Firewall
Tóm tắt điều hành: Một lỗ hổng Cross‑Site Scripting (XSS) phản chiếu đã được báo cáo trong plugin WordPress “Chia sẻ hình ảnh này” ảnh hưởng đến các phiên bản lên đến và bao gồm 2.07 (CVE‑2024‑13362). Vấn đề đã được khắc phục trong phiên bản 2.08. Mặc dù lỗ hổng này có xếp hạng CVSS trung bình (6.1), nó có thể bị lợi dụng trong các cuộc tấn công kỹ thuật xã hội có mục tiêu hoặc được sử dụng như một phần của chuỗi xâm nhập lớn hơn. Nếu trang của bạn sử dụng plugin này, hãy coi đây là hành động cần thực hiện: cập nhật hoặc áp dụng biện pháp giảm thiểu ngay bây giờ.
Bài viết này, được viết từ góc nhìn của WP‑Firewall, giải thích lỗ hổng là gì, cách nó có thể bị lạm dụng, cách phát hiện nếu trang của bạn bị ảnh hưởng, và các bước thực tiễn bạn nên thực hiện ngay lập tức và lâu dài để bảo vệ cài đặt WordPress của bạn. Nó cũng giải thích cách WP‑Firewall tự động bảo vệ trang của bạn và những gì bạn có thể làm để nhận được bảo vệ cơ bản miễn phí trong vài phút.
Điều gì đã xảy ra (phiên bản ngắn)
- Lỗ hổng: Cross‑Site Scripting (XSS) phản chiếu.
- Phần mềm bị ảnh hưởng: plugin Chia sẻ hình ảnh này cho WordPress, các phiên bản <= 2.07.
- Đã được vá trong: 2.08.
- CVE: CVE‑2024‑13362.
- Quyền hạn yêu cầu: Không (không xác thực).
- Rủi ro chính: Tiêm mã qua các URL hoặc payload được tạo ra mà được phản chiếu vào các trang; việc khai thác phụ thuộc vào việc lừa người dùng (tương tác của người dùng), thường thông qua các liên kết clickbait hoặc URL bị tiêm.
XSS phản chiếu là gì và tại sao nó quan trọng đối với WordPress?
XSS phản chiếu xảy ra khi một ứng dụng (trong trường hợp này, một plugin) lấy dữ liệu từ một yêu cầu HTTP (URL, biểu mẫu, tiêu đề) và phản hồi lại trong phản hồi HTTP mà không có sự làm sạch hoặc mã hóa thích hợp. Khi một nạn nhân nhấp vào một liên kết được tạo ra đặc biệt, mã độc được bao gồm trong yêu cầu sẽ được phản chiếu lại và thực thi trong trình duyệt của nạn nhân với quyền hạn của nguồn gốc trang web.
Tại sao điều này lại quan trọng đối với các trang web WordPress:
- WordPress cung cấp nội dung cho nhiều người dùng. Một XSS phản chiếu có thể được sử dụng để chiếm đoạt phiên quản trị (nếu một quản trị viên bị lừa), thực hiện các hành động thay mặt cho một quản trị viên, tiêm nội dung độc hại, đánh cắp cookie hoặc mã thông báo xác thực, hoặc leo thang thành các cuộc tấn công lớn hơn.
- Bởi vì lỗ hổng có thể bị khai thác bởi các kẻ tấn công không xác thực, một kẻ tấn công có thể tạo ra một URL độc hại và phân phối nó qua email, trò chuyện, hoặc các trang bên thứ ba để nhắm mục tiêu vào các quản trị viên hoặc người dùng đã đăng nhập.
- Tác động thực sự của lỗ hổng phụ thuộc vào mục tiêu (người truy cập trang, biên tập viên, quản trị viên) và liệu có những điểm yếu bổ sung nào tồn tại (thiếu cookie HTTPOnly, CSP yếu, hoặc các lỗ hổng plugin/theme khác).
Cách các kẻ tấn công có thể sử dụng XSS Chia sẻ hình ảnh này cụ thể
Tôi sẽ giải thích bề mặt tấn công bằng ngôn ngữ dễ hiểu — không có mã khai thác ở đây.
- Plugin chấp nhận đầu vào (ví dụ, một tham số URL hoặc chuỗi truy vấn) và xuất nó trong mã trang được hiển thị cho khách truy cập.
- Một kẻ tấn công tạo ra một URL bao gồm một payload JavaScript bên trong tham số đó. Khi mục tiêu nhấp vào liên kết, máy chủ phản hồi với một trang chứa JavaScript đã được tiêm.
- Trình duyệt của nạn nhân thực thi mã độc vì trang web có cùng nguồn gốc với nội dung trang. Từ đó, kẻ tấn công có thể:
- Đánh cắp cookie xác thực hoặc dữ liệu localStorage (nếu không được bảo vệ bởi các cờ như HttpOnly).
- Tiêm một chuyển hướng vĩnh viễn hoặc tạm thời đến một trang lừa đảo.
- Thực hiện các hành động trong ngữ cảnh của người dùng (nếu người dùng là quản trị viên/biên tập viên đã xác thực).
- Hiển thị các thông báo đăng nhập giả để thu thập thông tin xác thực.
- Nếu một quản trị viên hoặc biên tập viên bị lừa, kẻ tấn công có thể sửa đổi nội dung, tải lên backdoor, hoặc kết hợp XSS với các lỗ hổng khác để làm tổn hại thêm cho trang web.
Quan trọng: XSS phản chiếu yêu cầu kỹ thuật xã hội (lừa ai đó nhấp vào liên kết), nhưng điều đó không làm cho nó vô hại — nhiều vụ vi phạm thực tế bắt đầu với chính loại mánh khóe này.
Đánh giá rủi ro — ai là người có nguy cơ cao nhất?
- Các trang web chạy Share This Image <= 2.07 — ưu tiên ngay lập tức.
- Các trang web mà biên tập viên hoặc quản trị viên có thể bị lừa nhấp vào các liên kết không rõ — rủi ro cao hơn.
- Các trang web đa tác giả với đầu vào bên ngoài thường xuyên (nhận xét, tải lên của người dùng) — tác động tiềm tàng cao hơn.
- Các trang web thiếu cờ cookie được bảo vệ (HttpOnly, Secure, SameSite) hoặc tiêu đề bảo mật mạnh mẽ (CSP) — có nhiều khả năng bị lộ hơn.
Mặc dù lỗ hổng không phải là thực thi mã từ xa hoàn toàn, nhưng nó thường được sử dụng trong khai thác hàng loạt và các cuộc tấn công có mục tiêu. CVSS (6.1) phản ánh mức độ nghiêm trọng kỹ thuật vừa phải, nhưng tác động thực tế có thể cao hơn tùy thuộc vào hành vi của nạn nhân và cấu hình trang web.
Các bước ngay lập tức bạn phải thực hiện (trong vòng một giờ tới)
- Cập nhật plugin:
- Bước an toàn và đơn giản nhất là cập nhật Share This Image lên phiên bản 2.08 hoặc mới hơn ngay lập tức.
- Nếu có bản cập nhật tự động và bạn tin tưởng nguồn plugin, hãy đẩy bản cập nhật ngay lập tức.
- Nếu bạn không thể cập nhật ngay bây giờ, hãy vô hiệu hóa plugin:
- Vô hiệu hóa plugin từ bảng điều khiển quản trị WordPress hoặc qua FTP/SSH bằng cách đổi tên thư mục plugin của nó. Việc vô hiệu hóa sẽ loại bỏ đường dẫn mã dễ bị tổn thương khỏi việc phục vụ các yêu cầu.
- Áp dụng các biện pháp giảm thiểu ngắn hạn:
- Chặn đầu vào độc hại bằng quy tắc Tường lửa Ứng dụng Web (WAF) trên các tham số mà plugin sử dụng (nếu bạn có). Khách hàng WP-Firewall: chúng tôi đã đẩy một bộ quy tắc để phát hiện các mẫu khai thác điển hình cho lỗ hổng này ngay khi thông tin bị công khai.
- Thêm một quy tắc inbound tại máy chủ hoặc WAF để chặn các yêu cầu chứa ký tự nghi ngờ hoặc dấu hiệu tải trọng thường được sử dụng cho XSS (ví dụ: các mẫu chứa thẻ script, onerror=, javascript:, các chuỗi mã hóa script). Tránh các quy tắc rộng có thể phá vỡ việc sử dụng hợp pháp — gắn chúng với các điểm cuối của plugin khi có thể.
- Cảnh báo các quản trị viên và biên tập viên trang web:
- Thông báo cho các thành viên trong nhóm không nhấp vào các liên kết đáng ngờ và hãy coi các email/DM yêu cầu họ mở các trang quản trị với sự nghi ngờ.
- Sao lưu trang web của bạn ngay bây giờ:
- Thực hiện sao lưu đầy đủ (tệp + cơ sở dữ liệu) trước khi áp dụng các biện pháp khắc phục thêm nếu có thể, để bạn có thể so sánh trạng thái trước/sau trong quá trình điều tra.
Phát hiện: làm thế nào để biết liệu trang web của bạn có bị nhắm đến hoặc bị xâm phạm không
- Nhật ký máy chủ web:
- Tìm kiếm các yêu cầu GET hoặc POST đến các điểm cuối plugin bao gồm các chuỗi truy vấn đáng ngờ hoặc tải trọng mã hóa dài.
- Chú ý đến các yêu cầu từ các IP không xác định với các tiêu đề User-Agent bất thường.
- Nhật ký hoạt động WordPress:
- Kiểm tra các thay đổi bất ngờ đối với các trang/bài viết, người dùng quản trị mới, hoặc các sửa đổi plugin/theme trong khoảng thời gian sau khi lỗ hổng được công khai.
- Quét nội dung đã được chèn:
- Sử dụng công cụ quét trang web để tìm kiếm JavaScript bị tiêm, iframe ẩn, hoặc các tập lệnh nội tuyến bất ngờ trong các bài viết và tệp theme.
- Lỗi và cảnh báo trong bảng điều khiển trình duyệt:
- Nếu khách truy cập báo cáo các popup kỳ lạ hoặc chuyển hướng, hãy kiểm tra các điểm cuối plugin phổ biến và mô phỏng các tải trọng độc hại trong môi trường thử nghiệm để tái tạo.
- Hoạt động xuất khẩu đáng ngờ:
- Kiểm tra các tác vụ đã lên lịch mới, công việc nền, các kết nối ra ngoài bất ngờ từ máy chủ, hoặc các tệp không xác định trong wp-content/uploads hoặc thư mục plugin/theme.
Nếu bạn phát hiện dấu hiệu bị xâm phạm, hãy làm theo danh sách kiểm tra phản ứng sự cố bên dưới.
Danh sách kiểm tra ứng phó sự cố (nếu bạn nghi ngờ có sự xâm phạm)
- Cách ly và kiểm soát:
- Đưa trang web vào chế độ bảo trì trong khi bạn điều tra, hoặc khóa quyền truy cập quản trị theo IP nếu thời gian ngừng hoạt động ngay lập tức là không thể chấp nhận.
- Bảo quản bằng chứng:
- Sao chép nhật ký máy chủ, nhật ký WordPress và ảnh chụp hệ thống tệp. Không ghi đè lên nhật ký.
- Xóa mã độc:
- Khôi phục từ một bản sao lưu sạch được thực hiện trước khi nghi ngờ bị xâm phạm, hoặc tự tay làm sạch các tệp và mục cơ sở dữ liệu bị nhiễm nếu bạn có kinh nghiệm.
- Xoay vòng thông tin xác thực:
- Buộc đặt lại mật khẩu cho tất cả các tài khoản quản trị và thay đổi thông tin đăng nhập cơ sở dữ liệu và FTP/SFTP. Đảm bảo mật khẩu mới mạnh và độc nhất.
- Củng cố các phiên và cookie:
- Đảm bảo cookie sử dụng cờ Secure và HttpOnly; kích hoạt SameSite khi thích hợp.
- Cập nhật mọi thứ:
- Cập nhật lõi WordPress, tất cả các plugin và theme lên phiên bản mới nhất của chúng.
- Quét lại và giám sát:
- Chạy quét malware toàn diện và kiểm tra danh sách đen malware bên ngoài. Theo dõi nhật ký chặt chẽ để phát hiện tái diễn.
- Báo cáo:
- Nếu dữ liệu người dùng bị lộ, hãy tuân thủ nghĩa vụ pháp lý/quy định của bạn về thông báo vi phạm.
Nếu bạn không thoải mái thực hiện các bước này, hãy tham khảo ý kiến một chuyên gia bảo mật đáng tin cậy hoặc dịch vụ quản lý. Khách hàng WP‑Firewall có thể yêu cầu trợ giúp sự cố và chúng tôi có thể hỗ trợ với việc kiểm soát, hướng dẫn dọn dẹp và giám sát.
Các biện pháp giảm thiểu lâu dài và thực tiễn tốt nhất
Áp dụng các biện pháp này giảm thiểu rủi ro trong tương lai từ XSS và các lỗ hổng tương tự khác.
- Xử lý đầu vào/đầu ra nghiêm ngặt:
- Các nhà phát triển: làm sạch và thoát tất cả đầu vào bên ngoài và mã hóa đầu ra theo ngữ cảnh. Sử dụng API nền tảng đã được thiết lập để thoát (ví dụ,
esc_html(),esc_attr()trong WordPress).
- Các nhà phát triển: làm sạch và thoát tất cả đầu vào bên ngoài và mã hóa đầu ra theo ngữ cảnh. Sử dụng API nền tảng đã được thiết lập để thoát (ví dụ,
- Chính sách bảo mật nội dung (CSP):
- Triển khai CSP hạn chế để giảm thiểu tác động của các script bị tiêm (ví dụ, không cho phép script nội tuyến, hạn chế nguồn script).
- Tiêu đề bảo mật HTTP:
- Đảm bảo X‑Content-Type‑Options, X‑Frame‑Options, Referrer‑Policy và Strict‑Transport‑Security được cấu hình.
- Tăng cường quyền truy cập quản trị:
- Giới hạn các trang quản trị cho các IP cụ thể khi có thể, kích hoạt xác thực hai yếu tố (2FA) và sử dụng quyền tối thiểu cho vai trò.
- WAF / vá ảo:
- Sử dụng WAF để chặn các nỗ lực khai thác trong quá trình truyền tải. Vá ảo có thể giúp bạn có thêm thời gian giữa việc công bố lỗ hổng và triển khai bản vá an toàn.
- Chính sách cập nhật phần mềm:
- Duy trì nhịp độ cập nhật kịp thời cho các plugin, chủ đề và lõi WordPress. Kiểm tra các bản cập nhật trong môi trường staging trước khi triển khai sản xuất.
- Nguyên tắc plugin tối thiểu:
- Gỡ bỏ các plugin và chủ đề không sử dụng. Mỗi thành phần hoạt động làm tăng bề mặt tấn công.
- Giám sát và ghi lại an ninh:
- Giữ nhật ký liên tục và theo dõi các bất thường hành vi. Đặt cảnh báo cho các hoạt động đáng ngờ.
- Sao lưu định kỳ và diễn tập phục hồi:
- Sao lưu tự động ngoài site và các bài kiểm tra phục hồi định kỳ đảm bảo bạn có thể khôi phục nhanh chóng nếu cần.
Cách WP‑Firewall bảo vệ bạn (những gì chúng tôi làm khác biệt)
Chúng tôi đã xây dựng WP‑Firewall để giải quyết chính xác những loại lỗ hổng plugin này trên các trang WordPress. Khi một lỗ hổng công khai mới như XSS Share This Image được công bố, phản ứng của chúng tôi bao gồm:
- Triển khai quy tắc nhanh chóng:
- Nhóm nghiên cứu bảo mật của chúng tôi tạo ra các chữ ký WAF nhắm mục tiêu và đẩy chúng đến tất cả các điểm cuối được quản lý để ngay lập tức chặn các mẫu khai thác phổ biến cho lỗ hổng đó.
- Bản vá ảo:
- Đối với khách hàng sử dụng WAF được quản lý của chúng tôi, chúng tôi cung cấp các bản vá ảo chặn các vectơ tấn công ở rìa, giảm thiểu rủi ro cho đến khi bạn có thể áp dụng bản vá của nhà cung cấp.
- Quét và cảnh báo tự động:
- Chúng tôi đánh dấu các phiên bản plugin dễ bị tổn thương trên các trang web của bạn và thông báo cho bạn với hướng dẫn khắc phục từng bước.
- Theo dõi liên tục:
- Các yêu cầu nghi ngờ đối với các điểm cuối plugin được ghi lại và cảnh báo; nếu nghi ngờ có khai thác, chúng tôi cung cấp hướng dẫn và thang điểm.
- Hỗ trợ sự cố:
- Nếu phát hiện có sự xâm phạm, nhóm của chúng tôi có thể làm việc với bạn về các tùy chọn kiểm soát và phục hồi (tùy thuộc vào kế hoạch và mức độ dịch vụ).
Những biện pháp này được thiết kế để bảo vệ cả chủ sở hữu trang web kỹ thuật và không kỹ thuật. Các quy tắc WAF được tạo ra để giảm thiểu các cảnh báo sai trong khi giải quyết hành vi chính xác của lỗ hổng.
Hướng dẫn quy tắc WAF thực tiễn (dành cho quản trị viên kỹ thuật)
Nếu bạn quản lý WAF hoặc quy tắc bảo mật của riêng mình, đây là các chỉ báo không đầy đủ để bao gồm khi tạo quy tắc cho các mẫu XSS phản chiếu (luôn kiểm tra quy tắc trên môi trường thử nghiệm):
- Theo dõi các tham số yêu cầu chứa “”, “onerror=”, “onload=”, “javascript:”, hoặc các thuộc tính sự kiện khi các tham số như vậy được mong đợi chỉ chứa tên tệp hoặc ID số.
- Chặn hoặc cảnh báo đối với các yêu cầu có mã hóa nghi ngờ (mã hóa phần trăm hoặc mã hóa kép dẫn đến script hoặc dấu ngoặc nhọn).
- Giới hạn độ dài và các ký tự cho các tham số cụ thể của plugin — ví dụ, nếu một tham số nên là ID chữ và số, từ chối các giá trị dài hoặc những giá trị chứa dấu ngoặc nhọn.
- Sử dụng quy tắc nhận thức ngữ cảnh: hạn chế quy tắc cho các điểm cuối/plugin mẫu đường dẫn để bạn không làm gián đoạn lưu lượng không liên quan.
Ghi chú: Các quy tắc rộng được viết kém có thể làm hỏng chức năng. Luôn kiểm tra và từ từ thắt chặt phạm vi.
Những gì cần nói với người dùng / khán giả của bạn
Nếu bạn điều hành một trang web công cộng có người dùng, hãy xem xét một thông báo ngắn để trấn an họ trong khi bạn khắc phục:
- Giải thích rằng bạn đã xác định một lỗ hổng plugin và đã cập nhật/vô hiệu hóa plugin.
- Khuyên người dùng bỏ qua các email hoặc thông báo kiểu quản trị không mong đợi và báo cáo hành vi nghi ngờ.
- Nếu bạn yêu cầu người dùng đăng nhập cho các hành động quan trọng, khuyến khích thay đổi mật khẩu nếu bạn nghi ngờ bất kỳ mối đe dọa nào có thể đã chạm vào thông tin xác thực.
Giao tiếp rõ ràng, bình tĩnh duy trì niềm tin.
Thời gian & ghi chú công bố
- Ngày báo cáo công khai: 1 tháng 5, 2026.
- Phiên bản đã vá được phát hành bởi tác giả plugin: 2.08.
- CVE được gán: CVE‑2024‑13362.
- Nghiên cứu được ghi nhận: nhà nghiên cứu an ninh đã công bố vấn đề.
Chúng tôi khuyên bạn nên luôn xem xét nhật ký thay đổi và ghi chú phát hành của tác giả plugin để biết chi tiết chính xác. Hãy coi các ngày ở trên như là khoảng thời gian công bố và làm việc để cập nhật như một ưu tiên.
Những câu hỏi thường gặp
Hỏi: Lỗ hổng này có thể bị khai thác tự động mà không cần tương tác của con người không?
MỘT: Không. Đây là một XSS phản chiếu, yêu cầu nạn nhân phải nhấp vào một liên kết được tạo ra hoặc kích hoạt tải trọng (tương tác của người dùng).
Hỏi: Nếu tôi cập nhật plugin, tôi vẫn cần các biện pháp bảo vệ bổ sung không?
MỘT: Có. Cập nhật loại bỏ lỗ hổng đã biết, nhưng phòng thủ sâu với WAF, cấu hình an toàn và giám sát giảm thiểu rủi ro từ các lỗ hổng trong tương lai hoặc chưa biết.
Hỏi: Sao lưu có đủ không?
MỘT: Sao lưu là rất cần thiết, nhưng chúng là một phần của chiến lược rộng hơn. Sao lưu giúp phục hồi, trong khi WAF và tăng cường ngăn chặn sự xâm phạm ngay từ đầu.
Danh sách kiểm tra tăng cường trang web — các mục hành động (tham khảo nhanh)
- ☐ Cập nhật plugin Share This Image lên 2.08 hoặc phiên bản mới hơn (hoặc vô hiệu hóa nếu không thể cập nhật).
- ☐ Chạy quét toàn bộ phần mềm độc hại và kiểm tra tính toàn vẹn.
- ☐ Xem xét nhật ký máy chủ web và nhật ký WordPress để tìm các yêu cầu đáng ngờ.
- ☐ Đặt lại thông tin xác thực quản trị viên nếu nghi ngờ bị xâm phạm.
- ☐ Áp dụng quy tắc WAF để chặn các mẫu khai thác cho plugin.
- ☐ Thực thi 2FA cho các tài khoản quản trị.
- ☐ Triển khai CSP và tiêu đề bảo mật nếu chưa có.
- ☐ Gỡ bỏ các plugin/giao diện không sử dụng; duy trì lịch cập nhật.
- ☐ Sao lưu và bảo mật lưu trữ sao lưu ngoài site.
Bảo mật trang web của bạn ngay bây giờ — Bắt đầu với gói miễn phí của WP‑Firewall
Chúng tôi biết mỗi phút đều quan trọng khi một lỗ hổng được công khai. Nếu bạn chưa làm, bạn có thể bảo vệ trang web của mình trong vài phút bằng cách bắt đầu với gói cơ bản miễn phí của WP‑Firewall. Gói cơ bản (Miễn phí) cung cấp bảo vệ thiết yếu: một tường lửa được quản lý, băng thông không giới hạn, WAF, quét phần mềm độc hại và giảm thiểu các rủi ro OWASP Top 10 — đủ để ngăn chặn nhiều nỗ lực khai thác phổ biến trong khi bạn cập nhật các plugin dễ bị tổn thương. Nếu bạn cần dọn dẹp tự động hoặc kiểm soát nhiều hơn, các cấp độ trả phí thêm vào việc loại bỏ phần mềm độc hại tự động, danh sách đen/trắng IP, báo cáo bảo mật hàng tháng, vá lỗi ảo tự động và các tùy chọn hỗ trợ cao cấp.
Đăng ký kế hoạch Cơ bản miễn phí tại đây
Suy nghĩ cuối cùng từ nhóm WP‑Firewall
Các lỗ hổng plugin là một thực tế không may của hệ sinh thái WordPress mở. Hầu hết không phải là các lỗi thực thi mã từ xa zero-day, nhưng ngay cả XSS phản chiếu cũng có thể là cơ hội mà kẻ tấn công cần để có được chỗ đứng. Tư thế tốt nhất kết hợp việc vá lỗi nhanh chóng, bảo vệ chu vi như một WAF hiện đại, giám sát liên tục và các thực hành vận hành hợp lý (sao lưu, quyền tối thiểu, 2FA).
Nếu bạn điều hành các trang WordPress cho khách hàng hoặc quản lý nhiều cài đặt, việc tự động hóa ở bất cứ đâu có thể là rất quan trọng: cập nhật tự động cho các bản phát hành nhỏ, quét tự động và kiểm soát bảo mật tập trung giảm thời gian phản ứng và lỗi con người.
Nếu bạn cần hỗ trợ hoặc muốn chúng tôi xem xét một sự cố cụ thể, đội ngũ hỗ trợ của WP‑Firewall sẵn sàng hướng dẫn bạn qua các bước phân loại, kiểm soát và phục hồi.
Hãy giữ an toàn — và vui lòng cập nhật plugin ngay bây giờ nếu bạn chưa làm.
