Better Post & Filter Widgets แก้ 2 CVE ด้านสิทธิ์และ Stored XSS ในเวอร์ชัน 1.9.2

Better Post & Filter Widgets for Elementor แก้สองช่องโหว่: ตรวจสิทธิ์การเข้าถึงและ Stored XSS

ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ปลั๊กอิน Better Post & Filter Widgets for Elementor ควรตรวจเวอร์ชันและอัปเดต หลัง Patchstack เผยแพร่ระเบียน CVE-2026-115949 ซึ่งเกี่ยวกับการควบคุมสิทธิ์ และ CVE-2026-115950 ซึ่งเกี่ยวกับ Stored Cross-Site Scripting (Stored XSS) วันที่ 26 ตุลาคม 2026 ผู้พัฒนา WP Smart Widgets ระบุว่าทั้งสองรายการกระทบเวอร์ชัน 1.9.1 และเก่ากว่า และแก้ไขแล้วใน 1.9.2 ที่เผยแพร่วันที่ 25 ตุลาคม 2026 ข้อมูลนี้เกี่ยวกับปลั๊กอินดังกล่าวโดยเฉพาะ ไม่ได้หมายถึง Elementor หรือเว็บไซต์ WordPress ทุกแห่ง

การจัดการสองช่องโหว่ในบทความเดียวเหมาะกับการปฏิบัติงาน เพราะทั้งคู่มีขอบเขตเวอร์ชันและเวอร์ชันแก้ไขเดียวกัน อย่างไรก็ตามผลกระทบต่างกัน: รายการแรกเกี่ยวข้องกับการบังคับใช้สิทธิ์ ส่วนรายการที่สองเกี่ยวข้องกับการแสดงข้อมูลที่อาจกลายเป็นสคริปต์ ผู้ดูแลควรตรวจทั้งการตั้งค่าสิทธิ์ของบัญชีและเนื้อหาที่เคยสร้างผ่านวิดเจ็ต ไม่ใช่เพียงดูว่าเว็บโหลดหน้าได้หลังอัปเดต

ขอบเขตและความเสี่ยงที่ยืนยันได้

Patchstack ระบุ CVE-2026-115949 เป็น Broken Access Control และระบุว่าต้องมีสิทธิ์อย่างน้อยระดับ Contributor เพื่อเริ่มการโจมตีในเงื่อนไขที่ประเมินไว้ คะแนน CVSS คือ 6.5 จุดสำคัญคือการใช้ฟังก์ชันของปลั๊กอินนอกสิทธิ์ที่ควรได้รับ แม้ระเบียนสาธารณะไม่ได้อธิบายเส้นทางคำขอหรือข้อมูลเฉพาะที่ถูกเข้าถึงได้ จึงไม่ควรสรุปว่าข้อมูลทุกชนิดในเว็บไซต์จะถูกเปิดเผย

Patchstack ระบุ CVE-2026-115950 เป็น Stored XSS โดยมีขอบเขตเวอร์ชันเดียวกัน ต้องมีสิทธิ์อย่างน้อยระดับ Contributor และให้คะแนน CVSS 6.5 ระเบียนระบุว่าความสำเร็จของการใช้ประโยชน์ต้องอาศัยการโต้ตอบของผู้ใช้ เช่น การเปิดหน้าเนื้อหาที่ถูกจัดเตรียมไว้ Stored XSS หมายถึงข้อมูลที่แทรกไว้ถูกเก็บในระบบและอาจทำงานเมื่อมีการนำไปแสดง ไม่ใช่การสั่งรันโค้ดบนเซิร์ฟเวอร์โดยตรง

เงื่อนไข Contributor มีผลต่อการประเมินความเร่งด่วน เว็บไซต์ที่เปิดให้ผู้ร่วมเขียนหลายคนส่งเนื้อหา หรือมีบัญชีร่วมเขียนที่เคยถูกยึด ควรตรวจงานที่บัญชีเหล่านั้นแก้ไขเป็นพิเศษ ส่วนเว็บไซต์ที่ไม่มีบัญชีระดับดังกล่าวนอกกลุ่มที่ไว้วางใจยังต้องอัปเดต แต่ไม่ควรนำคะแนน CVSS ไปตีความว่าเป็นการโจมตีจากผู้ไม่ต้องล็อกอิน ผู้พัฒนาและ Patchstack ไม่ได้ยืนยันการถูกใช้โจมตีจริงในข้อมูลต้นทางที่ตรวจสำหรับข่าวนี้

ผู้พัฒนาแก้อะไรในเวอร์ชัน 1.9.2

บันทึกการเปลี่ยนแปลงบน WordPress.org ระบุเวอร์ชัน 1.9.2 – 2026-10-25 และแจกแจงการเปลี่ยนแปลงด้านสิทธิ์หลายจุด ได้แก่ การให้ Dynamic Tag ที่อ่าน Custom Field, Image Custom Field, Repeater, User Meta และ Author Meta เคารพสิทธิ์ของผู้เขียนเนื้อหาขณะเข้าถึงตัวเลือกไซต์และข้อมูลผู้ใช้อื่น การกำหนดให้การเปลี่ยนสถานะโพสต์หน้าเว็บเป็นเผยแพร่ต้องมีสิทธิ์เผยแพร่จริง และการตรวจว่าผู้ขอมีสิทธิ์ดูเทมเพลตหรือหน้าที่ยังไม่เผยแพร่ก่อนตอบคำขอกรองข้อมูล

ในด้านการแสดงผล ผู้พัฒนาระบุว่า Repeater Dynamic Tag สำหรับชื่อแท็บจำกัดชนิดแท็กให้เหลือเฉพาะ heading, span และ div ที่มีในตัวเลือกของระบบ ขณะที่ User Meta และ Author Meta Dynamic Tag แสดงเฉพาะฟิลด์ที่ผู้ใช้เลือกไว้ในตัวควบคุม การเปลี่ยนแปลงเหล่านี้ช่วยอธิบายบริเวณที่ผู้พัฒนาทำให้การตรวจสิทธิ์และการแสดงข้อมูลเข้มงวดขึ้น แต่ changelog ไม่จับคู่แต่ละบรรทัดกับเลข CVE โดยตรง จึงไม่ควรอ้างว่าบรรทัดใดบรรทัดหนึ่งเป็นสาเหตุทั้งหมดของ CVE ใด

เวอร์ชัน 1.9.2 ยังแก้ปัญหาความเข้ากันได้กับ Custom Fonts และการรักษาแอตทริบิวต์ของไอคอน SVG ประเด็นเหล่านี้เป็นการเปลี่ยนแปลงในรุ่นเดียวกัน แต่ไม่จำเป็นต้องเป็นผลกระทบของสองช่องโหว่ที่รายงาน ผู้ดูแลที่ใช้วิดเจ็ตกรองข้อมูลและ Dynamic Tag ควรทดสอบหน้าที่เกี่ยวข้องหลังอัปเดต เพื่อให้แน่ใจว่าการจำกัดการเข้าถึงใหม่ไม่ทำให้การนำเสนอเนื้อหาที่ตั้งใจเผยแพร่ผิดไป

ลำดับเวลาการเปิดเผย

วันที่เปิดเผยต่อสาธารณะครั้งแรกที่ตรวจได้คือ 25 ตุลาคม 2026 จากบันทึกเวอร์ชัน 1.9.2 บน WordPress.org ซึ่งอธิบายมาตรการด้านสิทธิ์และการแสดงข้อมูลของผู้พัฒนา วันดังกล่าวอยู่ในช่วง 48 ชั่วโมงก่อนการตรวจข่าวรอบนี้ แม้ Patchstack จะรับรายงานจากผู้ค้นพบช่องโหว่ก่อนหน้านั้น แต่การส่งรายงานให้ผู้ประสานงานเป็นขั้นตอนการแจ้งส่วนตัว ไม่ใช่วันเผยแพร่ต่อสาธารณะ

ระเบียน CVE เผยแพร่ครั้งแรกวันที่ 26 ตุลาคม 2026 ตามเวลา UTC: CVE-2026-115949 เวลา 10:07:24 และ CVE-2026-115950 เวลา 10:26:54 ส่วนวันที่ออกแพตช์ตาม changelog คือ 25 ตุลาคม 2026 อย่าสับสนวันที่ออกแพตช์กับวันเผยแพร่เลข CVE เพราะทั้งสองเป็นเหตุการณ์คนละขั้นตอน การออกแพตช์ก่อนประกาศ CVE ช่วยให้เจ้าของเว็บไซต์มีโอกาสอัปเดตก่อนรายละเอียดช่องโหว่ปรากฏกว้างขึ้น

วิธีรับมือ

ตรวจรายการปลั๊กอินในแผง WordPress ว่าติดตั้ง Better Post & Filter Widgets for Elementor หรือไม่ และดูเวอร์ชันจริง หากเป็น 1.9.1 หรือต่ำกว่า ให้อัปเดตเป็น 1.9.2 หรือใหม่กว่า จากแหล่งทางการ สำรองข้อมูลตามกระบวนการของเว็บไซต์ก่อนเปลี่ยนเวอร์ชัน แล้วทดสอบหน้าที่ใช้ตัวกรองโพสต์ การแสดง Dynamic Tag และการเปลี่ยนสถานะโพสต์หน้าเว็บ โดยทดสอบด้วยบัญชีสิทธิ์ต่างกัน ไม่ใช่ทดสอบเฉพาะบัญชีผู้ดูแล

หลังอัปเดต ให้ทบทวนบัญชี Contributor ที่เข้าถึงปลั๊กอิน และตรวจเนื้อหาที่สร้างด้วยวิดเจ็ตหรือ Dynamic Tag หากพบค่าแปลกปลอม สคริปต์ หรือการเผยแพร่โพสต์ที่ไม่ควรเกิดขึ้น ให้เก็บหลักฐาน ตรวจประวัติกิจกรรม เปลี่ยนรหัสผ่านหรือเพิกถอนสิทธิ์ของบัญชีที่เกี่ยวข้อง และลบเนื้อหาที่ไม่พึงประสงค์ การลงแพตช์แก้ข้อบกพร่องในซอฟต์แวร์ แต่ไม่ได้ยืนยันด้วยตัวเองว่าเนื้อหาที่ถูกแก้ไขก่อนหน้าได้รับการตรวจแล้ว

แหล่งต้นทาง: บันทึกเวอร์ชันของผู้พัฒนาบน WordPress.org, Patchstack: CVE-2026-115949, Patchstack: CVE-2026-115950