ปลั๊กอิน WordPress ของ bPlugins 4 ตัวแก้ Stored XSS: ตรวจเวอร์ชันที่ใช้งาน

ปลั๊กอิน WordPress ของ bPlugins 4 ตัวแก้ Stored XSS: ตรวจ Advanced Post Block, Panorama, B Slider และ Image Gallery

ผู้ดูแลเว็บไซต์ WordPress ที่ใช้ปลั๊กอินแสดงโพสต์ ภาพพาโนรามา สไลเดอร์ หรือแกลเลอรีของ bPlugins ควรตรวจเวอร์ชันที่ติดตั้ง หลังผู้พัฒนาเผยแพร่รุ่นแก้ไขช่องโหว่ Stored Cross-Site Scripting (Stored XSS) ในปลั๊กอิน 4 ตัว และ Patchstack เผยแพร่ระเบียน CVE ที่เกี่ยวข้องเมื่อวันที่ 26 ตุลาคม 2026 ช่องโหว่ทั้งสี่ไม่ได้หมายความว่าเว็บไซต์ WordPress ทุกแห่งมีความเสี่ยง: ขอบเขตจำกัดอยู่ที่ไซต์ที่ติดตั้งปลั๊กอินและเวอร์ชันตามรายการด้านล่าง

ตัวเลขเวอร์ชันที่ได้รับผลกระทบและเวอร์ชันแก้ไขข้างต้นมาจากระเบียนของผู้ประสานงาน CVE อย่าง Patchstack: Advanced Post Block, Panorama Viewer, B Slider และ Image Gallery block ส่วนวันที่ออกแพตช์ตรวจจากบันทึกการเปลี่ยนแปลงบนหน้าปลั๊กอิน WordPress.org ของผู้พัฒนาแต่ละตัว

ช่องโหว่กระทบอะไร

ทั้งสี่รายการถูกจัดเป็น Stored XSS: ข้อมูลที่ผู้ใช้มีสิทธิ์แก้ไขถูกบันทึกไว้ แล้วอาจกลายเป็นสคริปต์เมื่อหน้าเว็บนำข้อมูลนั้นไปแสดงต่อผู้ชม หรือเมื่อผู้มีสิทธิ์สูงกว่าเปิดหน้าเนื้อหาที่เกี่ยวข้อง ต่างจาก XSS แบบส่งลิงก์ครั้งเดียว เนื้อหาที่ฝังไว้มีโอกาสถูกแสดงซ้ำจนกว่าจะลบหรือแก้ไข ทั้งนี้ผลกระทบจริงขึ้นกับสิทธิ์ของผู้โจมตี จุดที่ฝังข้อมูล และผู้ที่เปิดดูหน้า ไม่ควรตีความว่าช่องโหว่เหล่านี้เปิดทางให้บุคคลทั่วไปโจมตีได้โดยไม่ต้องมีบัญชี

Patchstack ระบุเงื่อนไขสิทธิ์ขั้นต่ำของทั้งสี่รายการเป็นระดับ Contributor และให้คะแนน CVSS 6.5 สำหรับแต่ละ CVE อีกทั้งระบุว่าการใช้ประโยชน์ให้สำเร็จต้องมีการโต้ตอบจากผู้ใช้ เช่น เปิดหน้าที่มีเนื้อหาซึ่งถูกเตรียมไว้ ผู้ดูแลจึงควรให้ความสำคัญกับบัญชีที่สร้างหรือแก้ไขโพสต์ได้ และหน้าเนื้อหาที่บุคคลดังกล่าวเคยจัดการ ความเสี่ยงอาจเพิ่มขึ้นหากบัญชี Contributor ถูกยึด หรือเว็บไซต์เปิดให้ผู้ร่วมเขียนที่ไม่ไว้วางใจส่งเนื้อหาเข้าระบบ

รายละเอียดของแต่ละตัวแตกต่างกันและไม่ควรเหมารวมว่าใช้จุดโจมตีเดียวกัน:

• Advanced Post Block — CVE-2026-115955: บันทึกเวอร์ชัน 2.5.2 ของผู้พัฒนา ระบุว่าได้ทำความสะอาดไอคอน SVG ที่กำหนดเองในส่วน Read More และไอคอนขึ้นลงของ Accordion ทั้งฝั่งเซิร์ฟเวอร์และเบราว์เซอร์ โดยตัดสคริปต์ ตัวกระตุ้นแอนิเมชัน และแอตทริบิวต์ตัวจัดการเหตุการณ์ นอกจากนี้ยังเปลี่ยนการเข้ารหัสค่าที่ฝังในผลลัพธ์บล็อกเพื่อไม่ให้ HTML entity กลับกลายเป็นมาร์กอัปที่ทำงานได้ในเบราว์เซอร์ ผู้พัฒนาระบุชัดว่าเป็นการปิด Stored XSS ที่ผู้มีสิทธิ์ Contributor สามารถกระตุ้นจากโพสต์ได้
• Panorama Viewer — CVE-2026-115956: บันทึกเวอร์ชัน 1.8.4 ระบุการแก้ Stored XSS ในบล็อก Product Spot โดยเกี่ยวข้องกับไอคอน hotspot ชื่อเรื่อง และคำอธิบาย พร้อมเพิ่มความเข้มงวดในการแสดงค่าแอตทริบิวต์และสไตล์ที่ระบบสร้างในบล็อกต่าง ๆ ข้อมูลนี้ระบุพื้นที่ของแพตช์ ไม่ได้ยืนยันว่าองค์ประกอบทุกชนิดในปลั๊กอินเป็นช่องโหว่เดียวกัน
• B Slider — CVE-2026-115961: บันทึกเวอร์ชัน 2.2.4 ระบุการแก้ Stored XSS ในการตั้งค่าสไลเดอร์ ซึ่งได้รับรายงานผ่าน Patchstack และเพิ่มการป้องกันในค่าลูกศร ลิงก์ lightbox ของวิดีโอและภาพ การโหลดฟิลด์ ACF และการนำเข้าภาพของ Template Library ผู้ดูแลที่ใช้เวอร์ชัน 2.2.2 หรือต่ำกว่าควรอัปเดตเป็น 2.2.4 ขึ้นไปตามขอบเขตที่ระเบียน CVE ระบุ
• Image Gallery block — CVE-2026-115613: บันทึกเวอร์ชัน 2.4.2 ระบุว่าแก้ Stored XSS ผ่านลิงก์รายการในแกลเลอรีที่ใช้รูปแบบ javascript: จึงควรตรวจลิงก์ของภาพหรือรายการแกลเลอรีที่ผู้ร่วมเขียนเคยแก้ไขด้วย โดยเฉพาะหากมีลิงก์ผิดปกติที่ไม่ใช่ปลายทางที่เว็บไซต์ตั้งใจใช้

วันเปิดเผยและวันเผยแพร่ CVE

หลักฐานการเปิดเผยต่อสาธารณะที่ตรวจได้คือบันทึกแพตช์บน WordPress.org: Image Gallery block เปิดเผยประเด็นความปลอดภัยพร้อมเวอร์ชัน 2.4.2 วันที่ 25 ตุลาคม 2026 ส่วน Advanced Post Block 2.5.2, Panorama Viewer 1.8.4 และ B Slider 2.2.4 มีบันทึกแพตช์วันที่ 26 ตุลาคม 2026 การรายงานช่องโหว่ให้ Patchstack เป็นการรับแจ้งก่อนเผยแพร่ ไม่ใช่วันที่เปิดเผยต่อสาธารณะ

ระเบียน CVE ของผู้ประสานงานเผยแพร่ครั้งแรกในวันที่ 26 ตุลาคม 2026 ตามเวลา UTC: CVE-2026-115613 เวลา 09:54:36, CVE-2026-115961 เวลา 10:34:10, CVE-2026-115956 เวลา 10:34:34 และ CVE-2026-115955 เวลา 10:35:04 เวลาเหล่านี้เป็นเวลาเผยแพร่ระเบียน CVE ไม่ใช่เวลาที่ผู้ผลิตปล่อยแพตช์ โดยเวลานาทีของการออกแพตช์ไม่ได้ระบุใน changelog

วิธีรับมือสำหรับผู้ดูแลเว็บไซต์

เริ่มจากเปิดหน้ารายการปลั๊กอินของ WordPress และเทียบชื่อกับเวอร์ชันที่ใช้งานจริง หากไม่มีปลั๊กอินตัวนั้นก็ไม่อยู่ในขอบเขต CVE ของตัวนั้น หากพบเวอร์ชันที่ได้รับผลกระทบ ให้อัปเดตผ่านช่องทาง WordPress.org หรือช่องทางอัปเดตของผู้พัฒนาเป็นเวอร์ชันแก้ไขในตารางหรือรุ่นใหม่กว่า ก่อนอัปเดตควรสำรองข้อมูลตามขั้นตอนปกติและทดสอบหน้าที่ใช้บล็อกหรือแกลเลอรี เพราะแพตช์บางตัวเปลี่ยนวิธีจัดการ SVG ลิงก์ และค่าที่แสดงหน้าเว็บ

หลังอัปเดต ให้ตรวจโพสต์ สไลเดอร์ hotspot และแกลเลอรีที่บัญชี Contributor เคยแก้ไข โดยเน้นโค้ดหรือแอตทริบิวต์แปลกปลอมในไอคอน SVG ลิงก์ javascript: และค่าการตั้งค่าที่ไม่คุ้นเคย หากพบเนื้อหาผิดปกติ ให้เก็บหลักฐาน บล็อกการเข้าถึงชั่วคราว ตรวจบัญชีผู้ร่วมเขียนและบันทึกกิจกรรม แล้วแก้เนื้อหาก่อนเปิดหน้าให้ผู้ใช้เข้าชมอีกครั้ง การอัปเดตปลั๊กอินแก้ช่องทางรับข้อมูล แต่ไม่ได้ลบเนื้อหาที่อาจถูกฝังไว้ก่อนหน้าโดยอัตโนมัติ

แหล่งต้นทาง: WordPress.org — Advanced Post Block, Panorama Viewer, B Slider, Image Gallery block และ Patchstack — CVE-2026-115955, CVE-2026-115956, CVE-2026-115961, CVE-2026-115613