CVE-2025-2563 là lỗ hổng leo thang đặc quyền nghiêm trọng trong plugin WordPress User Registration (của ThemeGrill) — plugin tạo form đăng ký và quản lý thành viên phổ biến. Lỗ hổng cho phép kẻ tấn công nâng quyền tài khoản của mình lên quản trị viên (admin) và chiếm toàn quyền website. Lỗ hổng đạt điểm CVSS 9.8 và đã bị đưa vào danh sách khai thác thực tế.
Thông tin nhanh
| Mã CVE | CVE-2025-2563 |
| Plugin | User Registration (ThemeGrill) |
| Loại lỗ hổng | Leo thang đặc quyền (Privilege Escalation) |
| Mức độ (CVSS) | 9.8 — Nghiêm trọng |
| Phiên bản bị ảnh hưởng | Mọi phiên bản thấp hơn 4.1.2 |
| Phiên bản vá | 4.1.2 |
| Công bố | 25/03/2025 |
| Tình trạng | Đã được xác nhận bị khai thác thực tế; được ghi nhận có mã khai thác công khai |
Lỗ hổng này là gì?
Lỗ hổng cho phép một người dùng chiếm được quyền cao hơn mức được cấp, cụ thể là trở thành quản trị viên và nắm toàn quyền kiểm soát website. Trên các website cho phép người dùng tự đăng ký tài khoản (vốn là mục đích của plugin này), nguy cơ càng lớn vì kẻ tấn công có thể dễ dàng tạo tài khoản ban đầu rồi nâng quyền.
Để bảo đảm an toàn, bài viết chỉ trình bày bản chất rủi ro và cách phòng thủ, không cung cấp chi tiết kỹ thuật khai thác.
Vì sao nguy hiểm?
- Điểm CVSS 9.8 cho thấy mức độ rất nghiêm trọng và dễ khai thác.
- Website dùng plugin này thường mở chức năng đăng ký công khai, tạo điều kiện cho kẻ tấn công.
- Đã có công cụ khai thác tự động, nên các chiến dịch tấn công hàng loạt có thể quét và tấn công nhanh.
Cách kiểm tra website của bạn
- Kiểm tra có đang dùng plugin User Registration không và phiên bản là bao nhiêu (Dashboard → Plugins).
- Rà soát danh sách người dùng (Users → All Users), tìm các tài khoản admin lạ hoặc tài khoản vừa được nâng quyền bất thường.
- Kiểm tra các thay đổi gần đây về vai trò người dùng và log quản trị.
Cách khắc phục
- Cập nhật plugin lên phiên bản 4.1.2 trở lên ngay lập tức.
- Xoá các tài khoản admin không hợp lệ, đổi mật khẩu toàn bộ quản trị viên.
- Tạm thời tắt chức năng đăng ký công khai nếu chưa cần thiết, hoặc thêm xác minh (captcha, duyệt thủ công).
- Đổi salt trong
wp-config.phpvà rà soát mã độc nếu nghi ngờ đã bị xâm nhập.
Khuyến nghị: Luôn cập nhật plugin kịp thời và hạn chế số plugin cho phép người dùng tự đăng ký. Với website thương mại, nên bật giám sát thay đổi vai trò người dùng.
Cần kiểm tra, vá lỗ hổng và rà soát mã độc cho website WordPress? Liên hệ dịch vụ bảo mật WordPress của chúng tôi.
