Canvas ล่มหลัง ShinyHunters ขู่ปล่อยข้อมูลโรงเรียนที่รั่วไหล
(theverge.com)- แพลตฟอร์มบริหารการเรียนรู้ Canvas ของ Instructure ล่มหลังยืนยันเหตุข้อมูลรั่วไหลครั้งใหญ่ โดย Canvas, Canvas Beta และ Canvas Test ถูกสลับเข้าสู่โหมดบำรุงรักษา
- ข้อมูลที่ได้รับผลกระทบจากเหตุรั่วไหลรวมถึง ชื่อนักเรียน, อีเมล, หมายเลขประจำตัว และข้อความ
- นักเรียนที่เข้าใช้ Canvas เห็นข้อความที่กลุ่มแฮ็กเกอร์ ShinyHunters อ้างว่าเป็นผู้ก่อเหตุโจมตี และขู่เผยแพร่ข้อมูลของโรงเรียน
- ShinyHunters ขู่ว่าหากไม่มีการเจรจาก่อนสิ้นสุดวันของวันที่ 12 พฤษภาคม 2026 จะปล่อยข้อมูลทั้งหมด และเรียกร้องให้โรงเรียนที่ได้รับผลกระทบติดต่อแบบส่วนตัวผ่าน TOX เพื่อเจรจายอมความ
- Instructure ระบุว่าได้ปล่อยแพตช์เพื่อเสริมความปลอดภัยของระบบหลังการละเมิดเมื่อสัปดาห์ที่แล้ว ขณะที่ ShinyHunters อ้างบนเว็บไซต์ปล่อยข้อมูลของตนว่ามีข้อมูลจาก 9,000 โรงเรียน และนักเรียน ครู และเจ้าหน้าที่ 275 ล้านคน
สถานการณ์การหยุดชะงัก
- หน้าสถานะ ของ Instructure แจ้งว่า “ได้สลับ Canvas, Canvas Beta และ Canvas Test เข้าสู่โหมดบำรุงรักษา”
- Instructure ระบุว่าคาดว่าจะกู้คืนระบบได้ในไม่ช้า และจะอัปเดตข้อมูลโดยเร็วที่สุด
การข่มขู่ของ ShinyHunters
- ShinyHunters อ้างว่าได้เจาะ Instructure อีกครั้ง และกล่าวว่า Instructure ไม่ได้ติดต่อกลับ แต่เลือกทำ “แพตช์ความปลอดภัย” แทน
- ในข้อความมีลิงก์ไปยังรายชื่อโรงเรียนที่ ShinyHunters อ้างว่าเจาะผ่าน Canvas
- กลุ่มดังกล่าวเรียกร้องว่า หากโรงเรียนที่อยู่ในรายชื่อผู้ได้รับผลกระทบต้องการป้องกันไม่ให้ข้อมูลถูกเผยแพร่ ให้ปรึกษาบริษัทที่ปรึกษาด้านไซเบอร์ก่อน แล้วติดต่อแบบส่วนตัวผ่าน TOX เพื่อเจรจาข้อตกลง
ขนาดความเสียหายและคำกล่าวอ้างในอดีต
- ก่อนหน้านี้ ShinyHunters เคยอ้างความรับผิดชอบต่อการโจมตี Ticketmaster, AT&T, Rockstar Games, ADT และ Vercel
- ตามรายงานของ Bleeping Computer ShinyHunters อ้างว่าบนเว็บไซต์ปล่อยข้อมูลของตนมีข้อมูลจาก 9,000 โรงเรียน ครอบคลุมนักเรียน ครู และเจ้าหน้าที่อื่น ๆ 275 ล้านคน
1 ความคิดเห็น
ความเห็นจาก Hacker News
มองจากหน้างาน ผมสอนอยู่ในมหาวิทยาลัยที่ใช้ Canvas และตอนนี้เป็นช่วงสอบปลายภาคพอดี
วันนี้เวลา 5:17pm EDT ผมเพิ่งได้รับอีเมลแจ้งเหตุขัดข้องจากฝ่ายวิชาการฉบับแรก และมีอีเมลเพิ่มตอน 6:24 กับ 6:57 แต่เนื้อหาส่วนใหญ่พูดถึงขั้นตอนชดเชย/ทดแทน มากกว่าจะอธิบายว่าเกิดอะไรขึ้นกันแน่
นอกจากคำว่า “หยุดชะงักทั่วประเทศ” กับ “การโจมตีทางไซเบอร์” ก็ไม่มีรายละเอียดอะไรเลย และดูเหมือนว่าทางมหาวิทยาลัยเองก็ไม่รู้ไปมากกว่านั้น
จุดที่ชวนคิดคือมีคำสั่งให้นักศึกษาส่งงานที่ปกติส่งผ่าน Canvas มาทางอีเมลถึงอาจารย์โดยตรง ซึ่งดูเหมือนจะไม่ได้มั่นใจนักว่าระบบจะกลับมาได้เร็ว
สำหรับผมเองผลกระทบไม่มาก ผมเป็นอาจารย์ CS งานของนักศึกษาส่วนใหญ่อยู่บนอุปกรณ์ของภาควิชาและส่งผ่านทางนั้น ส่วนการสอบจริงก็ยังสอบบนกระดาษ
ที่สำคัญกว่านั้นคือผมไม่เคยเชื่อถือสมุดคะแนนของ Canvas เลย ผมลงคะแนนใน Canvas ไว้ให้นักศึกษาตรวจสอบเท่านั้น และเก็บสมุดคะแนนต้นฉบับไว้ในสเปรดชีตบนเครื่องตลอด
แต่สำหรับเพื่อนร่วมงานหลายคน นี่คือหายนะระดับ “ตึกไฟไหม้แล้วข้อสอบกับสมุดคะแนนหายหมด” เพราะแม้แต่อาจารย์ที่สอนแบบเจอหน้ากันก็ย้ายการประเมินส่วนใหญ่ไปใช้ฟังก์ชัน “quiz” ของ Canvas รวมถึงสอบปลายภาคบน Canvas และใช้สมุดคะแนนของ Canvas เป็นบันทึกต้นฉบับ
ฝ่ายบริหารก็สนับสนุนแนวทางนี้มาตลอดด้วยเหตุผลว่า “จะส่งเกรดได้ง่ายขึ้น” อาจารย์กลุ่มนี้อาจแทบไม่มีหรือไม่มีชิ้นงานของนักศึกษาเก็บไว้เลย และนักศึกษาก็อาจเขียนงานกันใน Canvas ตั้งแต่แรก จึงไม่มีอะไรจะส่งกลับมาทางอีเมลได้ อีกทั้งคะแนนหรือแม้แต่บันทึกการเข้าเรียนก็อาจเก็บอยู่แค่ใน Canvas เท่านั้น
ถ้าเคยส่ง advisory grades ช่วงกลางภาคในเดือนมีนาคม อย่างน้อยอาจยังเข้าถึงส่วนนั้นได้ แต่นั่นอาจเป็นทั้งหมดที่มี
สัญชาตญาณผมบอกว่ามันจะจบในไม่กี่ชั่วโมง หรือไม่ก็ลากไปหลายสัปดาห์ ถ้ามีแบ็กอัปแบบ air-gapและแค่ต้องยกเซิร์ฟเวอร์ใหม่ขึ้นมาก็เป็นแบบแรก ถ้าไม่ใช่ก็เป็นแบบหลัง ดูไม่ค่อยมีทางสายกลาง
ถ้ายังไม่กลับมาใช้ได้ภายในเช้าพรุ่งนี้ ผมไม่รู้จริง ๆ ว่ามหาวิทยาลัยของเราและอาจารย์อีกมากทั่วประเทศจะส่งเกรดอย่างยุติธรรมและสมเหตุสมผลกันอย่างไร
ในกรณีสุดโต่ง อาจต้องให้รายวิชาที่เดิมให้ letter grade ส่งผลเป็นผ่าน/ไม่ผ่านเหมือนช่วงเทอมโควิด และเหมือนเทอมที่มหาวิทยาลัยเราเคยมีอาคารวิชาการใหญ่สองหลังไฟไหม้จริง ๆ ก่อนสอบปลายภาคหนึ่งสัปดาห์ ไม่งั้นจะทำอะไรได้อีกล่ะ
แน่นอนว่าเราอาจไม่ควรเอาไข่ทั้งหมดใส่ไว้ในตะกร้าใบเดียวและไม่ควรเชื่อ “คลาวด์” มากเกินไป แต่ตอนนี้เรือออกจากฝั่งไปแล้ว ระยะยาวก็น่าสงสัยว่าจะมีใครได้บทเรียนจากเรื่องนี้ไหม
อัปเดต: ณ 11:45pm EDT อินสแตนซ์ Canvas ของมหาวิทยาลัยเรากลับมาใช้งานได้อีกครั้งแล้ว หวังว่าจะไม่ล่มอีก แต่เผื่อไว้ผมคงดาวน์โหลดบางอย่างเก็บไว้
ที่ไม่ทำกันก็เพราะอยากควบคุมข้อมูล และผมก็ไม่เข้าใจเหมือนกันว่าทำไมมหาวิทยาลัยถึงไม่บังคับใช้เรื่องนี้
วันนี้ข้อมูลที่เรารู้ก็มาจากเธรดใน Reddit กับ Hacker News เท่านั้น ในการสื่อสารอย่างเป็นทางการไม่มีการพูดถึงเรื่องการโจมตีเลย แต่หน้าเข้าสู่ระบบถูกแก้ไขโดย ShinyHunters
และก็หวังว่าสักวัน SaaS จะหายไป และเราจะกลับไปปล่อยซอฟต์แวร์ที่ควบคุมและแก้ไขได้เองตามต้องการ
ตามหลักก็ควรเป็นแบบนั้นอยู่แล้ว คะแนนงานระหว่างภาค หรือยิ่งแย่กว่านั้นคือคะแนนเข้าเรียน ไม่จำเป็นต่อการประเมินว่านักศึกษาเรียนรู้เนื้อหาหรือไม่ แค่สอบแล้วจบก็พอ
แปลกใจที่เธรดนี้มีคอมเมนต์น้อยขนาดนี้ น่าจะมีนักศึกษาหลายล้านคนได้รับผลกระทบในช่วงเวลาที่เครียดที่สุดของปี
เดิมทีผมก็เกลียด Canvas และอาจรวมถึงบริษัทระบบ LMS ทั้งหมดอยู่แล้ว แต่สิ่งที่ทำให้เหตุขัดข้องครั้งนี้น่าขันเป็นพิเศษคือมันเกิดขึ้นพอดีกับช่วงที่มหาวิทยาลัยกำลังบังคับให้อาจารย์ทุกคนต้องอัปโหลดทุกอย่างขึ้น Canvas แบบไม่มีข้อยกเว้น เพราะข้อกำหนดเรื่องการปฏิบัติตาม ADA
ยกตัวอย่างเช่น แค่บอกให้นักศึกษาไปอ่าน PDF ที่อยู่บนเว็บไซต์ส่วนตัวก็ถูกห้ามไว้ชัดเจน
ดูเหมือนหลายคนที่นี่จะไม่ค่อยรู้ว่าคณาจารย์จำนวนมากก็ไม่ได้ชอบที่ถูกบังคับให้ใช้ Canvas เหมือนกัน
อีกความกังวลใหญ่ที่ผมมีต่อ Canvas คือความเป็นไปได้ที่เนื้อหาทั้งหมดที่อาจารย์อัปโหลดจะถูกนำไปใช้ฝึก AI มาทดแทนพวกเรา เพื่อนร่วมงานผมชอบพูดเล่นเชิงดำ ๆ เรื่องนี้ แต่แทบไม่เห็นการลงมือทำอะไรจริงจัง
ฝ่ายบริหารส่งอีเมลมาแค่ฉบับหนึ่งที่ขึ้นต้นว่า “Canvas แจ้งว่า” แล้วอีกชั่วโมงต่อมาก็ส่งอีเมลบอกว่า “Canvas หยุดให้บริการโดยไม่มีกำหนด” เพื่อแสดงว่าพวกเขารับรู้ความร้ายแรงแล้ว
สำหรับคนที่ไม่รู้ Canvas ก็ใกล้เคียงกับวิกิสำหรับรายวิชาที่มีฟังก์ชันอย่างควิซเพิ่มเข้ามา
เพราะงั้นอาจมีนักศึกษาที่ต้องกลับเข้าห้องเรียนจริงอีกครั้ง ซึ่งก็น่าดูอยู่เหมือนกัน วันแรกของคลาสห้องเรียนมักแน่นแทบไม่มีที่นั่ง บางครั้งถึงขั้นต้องยืน แต่หลังจากนั้นก็ลดลงเรื่อย ๆ จนคลาส 100 คนอาจเหลือมาเรียนจริงแค่ราว 10 คน
ถ้า Canvas ยังไม่กลับมาเร็ว ความวุ่นวายในโลกจริงอาจหนักขึ้นเพราะเรื่องนี้ด้วย
จริงอยู่ว่าโปรแกรมอ่าน PDF ไม่ได้ดีที่สุดสำหรับ screen reader แต่ก็แค่อัปโหลดสำเนา
.htmlไปด้วยไม่ใช่หรือสำหรับบริษัทไหนก็ตาม การจ่ายค่าไถ่จาก ransomwareควรเป็นสิ่งผิดกฎหมาย ห้ามจ่ายเด็ดขาดโดยไม่มีข้อยกเว้น
การลงโทษผู้โจมตีควรเชื่อมโยงกับระบบที่พวกเขาละเมิด ถ้าโจมตีโรงพยาบาลแล้วมีคนตาย ก็ควรถึงขั้นจำคุกตลอดชีวิตหรือโทษประหาร ขั้นต่ำต้องรุนแรงพอจะยับยั้งการโจมตีได้
แน่นอนว่าแค่นี้ไม่พอ และบริษัทเองก็ควรต้องรับผิดชอบหากลงทุนด้านความปลอดภัยไม่เพียงพอ ทุกการโจมตีควรถูกสอบสวนว่าบริษัทนั้นปฏิบัติตามมาตรฐานอุตสาหกรรม แนวปฏิบัติที่ดีที่สุด และข้อกำหนดด้านบุคลากรที่ตกลงกันไว้หรือไม่ ถ้าไม่ผ่านก็ควรมีบทลงโทษเชิงลงทัณฑ์ตามมา
การละเมิดข้อมูลเกิดขึ้นซ้ำแล้วซ้ำเล่าแต่ไม่มีใครสนใจ เพราะอย่างมากสุดก็แค่เสียลูกค้าไปไม่กี่รายแล้วซื้อ “บริการติดตามเครดิต” ให้
หลังเหตุการณ์แบบนี้ควรมีการตรวจสอบและการฟ้องร้อง ควรส่งผู้บริหารบริษัทเข้าคุกจากความล้มเหลวด้านความปลอดภัยที่เกิดจากความประมาท ถ้าเข้าคุกได้เพราะโกงบัญชี ก็ควรเข้าคุกได้เพราะโกหกเรื่องคำมั่นสัญญาด้านไซเบอร์ซีเคียวริตี
พวกเขาอ้างว่าปฏิบัติตามมาตรฐานความปลอดภัยหลายรายการ https://www.instructure.com/en-au/trust-center/compliance
ผมอยากเห็นว่าหลังเกิดเหตุ เมื่อตรวจสอบแล้วมีอะไรที่ถูกนำไปใช้จริงมากน้อยแค่ไหน
ถ้าทหารเกาหลีเหนือบุกเข้ามาในสหรัฐแล้วปล้นทองมูลค่า 200 ล้านดอลลาร์จาก Fort Knox ก็คงมีการตอบโต้ แต่ถ้าได้เงินมูลค่าเท่ากันจากการแฮ็กบริษัทอเมริกัน รัฐบาลกลางกลับไม่ทำอะไรเลย
ผมอยากให้ใช้หลักการเดียวกันกับการโจมตี ransomware หรือการข่มขู่/ปล่อยข้อมูล ถ้ามีคนฆ่าตัวตายเพราะเรื่องนั้น ก็ควรนับเป็นการฆาตกรรม
ลูก ๆ ของผมกำลังอยู่กลางสัปดาห์สอบปลายภาค พังเละเทะไปหมด
มหาวิทยาลัยไม่รู้อะไรเลย ส่วน Canvas ก็อ้างว่าอยู่ระหว่าง “scheduled maintenance” และมีอาจารย์บางคนบอกว่า “ไม่มีสำเนาเอกสารแบบออฟไลน์” ซึ่งดูประมาทมาก
มีวิชายอดนิยมกลุ่มหนึ่งน่าจะต้องสอบบนกระดาษ ขณะที่กลุ่มอื่น ๆ ดูเหมือนจะได้สอบผ่าน Canvas ไปแล้วตั้งแต่เช้าวันนี้ ในรูปแบบอย่าง “รอบสองได้ครึ่งคะแนน”
อีกนานแค่ไหนกว่าชื่อกับเกรดจะโผล่ใน data dump
นี่ก็เหมือน TurboTax ในอเมริกาจู่ ๆ จะประกาศ “scheduled maintenance” ในวันที่ 14 เมษายน
ถ้าดูจาก status page นี่ก็คงนับว่าเป็น**uptime 99.996%**สินะ จำเอาไว้ให้ดี
มีเพื่อนสอนอยู่ที่ MIT แล้วโดนเรื่องนี้เหมือนกัน
มันทั้งประชดประชันและน่าเศร้านิด ๆ ที่สถานที่อย่าง MIT กลับไม่มีบุคลากร IT สำหรับดูแลโซลูชันแบบ on-premises เพื่อจุดประสงค์แบบนี้
แต่พอไปดูจริง ๆ ก็พบว่า MIT เคยมีระบบที่พัฒนาขึ้นเอง และเพิ่งย้ายมาใช้ Canvas ไม่นานนี้ ตอนนี้คงกำลังเสียดายอยู่
ตลอด 10 ปีที่ผ่านมา เหมือนการตัดสินใจแบบสร้างเอง vs ซื้อเอนเอียงไปทางซื้อแรงเกินไปหน่อย ซึ่งก็น่าเสียดาย
แน่นอนว่าองค์กรควรโฟกัสกับความสามารถหลักของตัวเอง และบางครั้งการเอางานที่ไม่ใช่แกนหลักออกไปให้ผู้ขายภายนอกก็เป็นเรื่องถูกต้อง แต่ทางเลือกนี้ก็มีข้อเสียเสมอ
ระบบ LMS เองก็เป็นซอฟต์แวร์ที่ซับซ้อนมาก ผมเคยมีส่วนร่วมกับเวอร์ชันที่มหาวิทยาลัยผมทำเองตอนปริญญาตรี
คนสาย IT ที่มีความทะเยอทะยานและมีฝีมือมักไม่อยู่ในวงการการศึกษานานนัก ค่าจ้างต่ำมากเมื่อเทียบกับภาคอุตสาหกรรม
ที่ทำงานเก่าของผมมีระบบบำนาญสบาย ๆ หลังทำงานครบจำนวนปี ดังนั้นพนักงาน IT จึงพยายามเอาทุกอย่างไปจ้างคนนอกให้มากที่สุด เพื่อไม่ต้องเสี่ยงอะไรกับเงินเกษียณของตัวเอง ปัญหาทั้งหมดก็โยนให้คอนซัลแทนต์ และทำงานให้น้อยที่สุด
มันคือสถานที่ที่ความฝันตายอย่างแท้จริง
MIT มีชื่อเสียงเรื่องอาจารย์และนักศึกษาที่ยอดเยี่ยม แต่ท้ายที่สุดการบริหารมหาวิทยาลัยก็เป็นงานค่อนข้างมาตรฐาน ไม่ได้ต้องใช้ร็อกสตาร์อัจฉริยะมาดูแลเซิร์ฟเวอร์แพลตฟอร์มการสอนหรอก
ผมเป็นนักศึกษาที่ Stanford และเหตุขัดข้องครั้งนี้กระทบทั้งมหาวิทยาลัยหนักมาก
ต่างจากมหาวิทยาลัยฝั่งตะวันออกอย่าง Brown, Harvard, MIT เราใช้ระบบquarter เลยเพิ่งจบสอบกลางภาคกันไป
โชคดีที่ภาควิชา CS ของเราแยกขาดจาก Canvas โดยสิ้นเชิง แต่รายวิชาสายมนุษยศาสตร์ของผมส่วนใหญ่ไม่เป็นแบบนั้น
วิชาประวัติศาสตร์ศิลป์วิชาหนึ่งให้อัปโหลดงานกลางภาคลงโฟลเดอร์ Google Drive ส่วนอีกวิชาหนึ่งหยุดควิซรายสัปดาห์ไปเลย
เรื่องนี้ทำให้เห็นชัดว่านักศึกษาและอาจารย์พึ่งพา Canvas มากแค่ไหน และจากมุมมองนักศึกษา ผมหวังว่ามันจะจุดประกายการคุยกันใหม่เรื่องการออกจากแพลตฟอร์มที่เดิมก็ไม่ได้ดีอยู่แล้วนี้
เล็งเป้าบริษัทอย่างหนึ่ง แต่ไปยุ่งกับนักศึกษานี่อีกอย่าง นักศึกษาควรถูกปล่อยไว้เฉย ๆ
การตอบสนองของ Canvas แย่มาก ไม่มีการสื่อสาร และไม่มีอัปเดตสถานะ
ดูเหมือนทั้งแพลตฟอร์มจะถูกเจาะไปแล้ว และการที่ยังไม่มีรายงานจริงจังแม้แต่ฉบับเดียวเกี่ยวกับเหตุละเมิดความปลอดภัยที่เกิดขึ้นแล้ว ก็ยิ่งดูไม่ดีมาก
เมื่อโรงเรียนส่วนใหญ่ในสหรัฐกำลังสอบปลายภาคกันอยู่ ก็สงสัยว่าจะใช้เวลานานแค่ไหนกว่าการผิด SLA และคดีฟ้องร้องจะเริ่มตามมา
แต่วัฒนธรรมองค์กรดูเหมือนจะเต็มไปด้วยความหยิ่งในสถานะทางการตลาดของตัวเอง
เมื่อก่อนมหาวิทยาลัยหลายแห่งใช้ระบบนักศึกษาที่พัฒนาเองหรือรันแบบ on-premises
นี่คือข้อเสียของการรวมศูนย์บนคลาวด์ ถ้าโครงสร้างพื้นฐานถูกเจาะ ก็ไม่ได้กระทบแค่การติดตั้งรายบุคคลหนึ่งหรือสองแห่ง แต่กระทบทุกคน
ก็สงสัยเหมือนกันว่าตอนนี้พวกเขารู้สึกอย่างไรกับการตัดสินใจนั้น แต่อย่างน้อยคงสบายใจกว่าเพราะยังพูดได้ว่า “ไม่ใช่ความผิดของเรา” ซึ่งถ้าเป็นช่องโหว่ในระบบที่ทำเองก็คงพูดไม่ได้
ขึ้นอยู่กับช่องโหว่ว่าในบางกรณีอาจยิ่งง่ายกว่า ถ้าผู้ดูแล on-premises ไม่ได้ใช้มาตรการความปลอดภัยที่แนะนำครบถ้วน
จริง ๆ สิ่งที่ผมสงสัยมากกว่าคือ Instructure มีความรับผิดทางการเงินในเรื่องนี้หรือไม่ ความล้มเหลวเชิงเทคนิคเกิดที่ฝั่ง Instructure แต่คำขู่เรียกค่าไถ่กลับส่งไปที่มหาวิทยาลัย ซึ่งน่าสนใจดี
ผมคุ้นกับ SLA เรื่อง uptime แต่ SLA เรื่องการละเมิดความปลอดภัยจะเป็นอย่างไร
ตอนนี้พวกเขาสามารถลุกออกจากโต๊ะได้เหมือนดีลเลอร์แบล็กแจ็กที่ตบมือแล้วแบมือให้ดู โดยไม่ต้องรับผิดอะไรเลย นี่อาจเป็นหนึ่งในข้อดีใหญ่สุดของการไม่สร้างเองแต่ใช้ผลิตภัณฑ์คนอื่น
การมีอีกฝ่ายไว้ให้โทษได้ และการที่ทุกคนล่มพร้อมกันเมื่อจะล่ม ก็มีคุณค่าในตัวมันเอง
ตอนผมเป็นนักเรียนมัธยมราวปี 2016 หรือ 2017 ผมเคยเจอXSSง่าย ๆ มากในฟอร์มส่งการบ้าน แล้วไปบอกครูสอนเขียนโปรแกรม
หลังจากนั้น Canvas ก็ล็อกบัญชีผม และทำให้ผมโดนกักบริเวณหลังเลิกเรียนครั้งแรกและอาจครั้งเดียวในชีวิต ช่างเป็นช่วงเวลาที่ดีจริง ๆ
การปิดตัวแก้ไข HTML ในคอมเมนต์กระทู้ถือว่าฉลาด แต่พวกเขาดันลืมไปว่ามี rich text editor อยู่ ดังนั้นถ้าใส่โค้ดลงใน
data:text/htmlแล้วคัดลอกองค์ประกอบนั้นมาเป็น HTML แบบมีรูปแบบ ก็สามารถวาง embed ได้ทั้งดุ้นผมยังลองชุดตัวอย่าง XSS ของ DOMPurify ทั้งชุด และเจอวิธีหนึ่งที่ทำให้ดาวน์โหลดเนื้อหาแบบกำหนดเองไปยังคอมพิวเตอร์ของใครสักคนได้
ถ้ามีใครรู้เรื่องภายใน ผมสงสัยว่า Parchment ได้รับผลกระทบไปด้วยหรือเปล่า
Instructure ซื้อกิจการไปเมื่อไม่กี่ปีก่อน และมันจัดการทรานสคริปต์จำนวนมหาศาลมาก
แก้ไข: https://status.parchment.com/ ระบุว่า “ขณะนี้ Canvas, Canvas Beta และ Canvas test ไม่พร้อมใช้งาน แต่เรากำลังติดตามสภาพแวดล้อมของผลิตภัณฑ์อื่นทั้งหมดพร้อมกัน รวมถึง Parchment ด้วย ณ ตอนนี้เราไม่มีเหตุให้เชื่อว่าทรัพยากรของ Parchment ได้รับผลกระทบ”