WP Helper Premium

Nhật ký thay đổi

4.7.6

• Bảo mật: đã sửa lỗi giả mạo request từ phía máy chủ (SSRF) trong luồng xác nhận chuyển khoản ngân hàng — trước đây, một URL biên lai được tạo có chủ đích có thể khiến máy chủ truy cập vào các địa chỉ nội bộ hoặc cloud-metadata; giờ URL sẽ được kiểm tra đối chiếu với các dải IP private và link-local cả khi lưu URL lẫn ngay trước khi máy chủ tải URL đó.
• Bảo mật: đã khắc phục một lỗ hổng SSRF còn sót lại trong tính năng kiểm tra huy hiệu đăng ký Bộ Công Thương — trước đây, một redirect trả về từ endpoint chính thức có thể bị lợi dụng để dẫn đến một host bên ngoài; giờ mỗi bước redirect đều được xác thực lại trước khi được thực hiện theo.
• Bảo mật: đã thay thế cơ chế tải song song (parallel-download) cũ — vốn tắt xác thực chứng chỉ SSL — bằng WordPress HTTP API, loại bỏ nguy cơ bị tấn công man-in-the-middle khi tải ảnh do AI đề xuất.
• Bảo mật: đã thêm cơ chế bảo vệ dùng một lần, có thời hạn ngắn, để chống replay request trên endpoint AJAX chạy nền của AI Writer.
  Mức độ ưu tiên: Thấp
• Bảo mật: tất cả các thư viện bên thứ ba đi kèm plugin (CodeMirror, Font Awesome, jQuery DirtyForms, SheetJS) giờ được đóng gói và phân phối cục bộ cùng plugin, thay vì tải từ CDN bên ngoài khi chạy.
  Mức độ ưu tiên: Thấp
• Bảo mật: endpoint xác minh biên lai bằng AI Payment Vision giờ sẽ kiểm tra AI Payment/OCR có thực sự được bật hay không trước khi chạy, thay vì chỉ dựa vào giao diện admin để ẩn nút bấm.
• Bảo mật: xác nhận chuyển khoản ngân hàng giờ sẽ bị từ chối đối với các đơn hàng không sử dụng phương thức thanh toán ví (wallet) hoặc chuyển khoản ngân hàng.
• Bảo mật: khi xuất file CSV/bảng tính (Form Manager), giờ đây các ký tự đầu dòng =, +, -, @ trong giá trị xuất ra sẽ được vô hiệu hóa để ngăn chặn tấn công formula injection khi mở file bằng Excel hoặc Google Sheets.
  Mức độ ưu tiên: Thấp
• Bảo mật: các trang quản trị của plugin không còn che khuất (suppress) các thông báo admin từ WordPress core hoặc plugin khác.
  Mức độ ưu tiên: Thấp
• Cải thiện: đã tự lưu trữ (self-hosted) Google Fonts được dùng trong các mẫu Maintenance Mode và trang cảm ơn — địa chỉ IP của khách truy cập không còn bị gửi đến Google khi xem các trang này.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: đã gỡ bỏ một link Google Fonts CDN còn sót lại vẫn được nạp cùng với bản tự lưu trữ (self-hosted) trên trang cảm ơn (thank-you page), vốn khiến trình duyệt khách tiếp tục gửi request đến Google.
• Sửa lỗi: stylesheet của module Pop-up trước đây tải link Google Fonts CDN trên mọi trang — kể cả khi Pop-up đã bị tắt — thay vì dùng font đã được tích hợp sẵn trong plugin; giờ font sẽ được tải cục bộ (local).
  Mức độ ưu tiên: Thấp
• Sửa lỗi: các ảnh biên lai của AI Payment được lưu trong thư mục uploads của chính site không còn bị chặn nhầm bởi cơ chế kiểm tra an toàn SSRF trên môi trường local/dev/LAN.
• Sửa lỗi: việc kiểm tra huy hiệu đăng ký Bộ Công Thương không còn bị timeout ngắt quãng trên các site mà endpoint chính thức yêu cầu nhiều bước chuyển hướng (redirect).
• Sửa lỗi: hành động “Kiểm tra” của huy hiệu Bộ Công Thương giờ sẽ lưu lại link đã xác minh cùng với trạng thái đăng ký, để huy hiệu công khai luôn trỏ đến đúng link đã được xác minh.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: tính năng phát hiện huy hiệu trên trang chủ giờ sẽ kiểm tra tất cả các link online.gov.vn tìm thấy trên trang, thay vì chỉ dừng lại ở link đầu tiên, tránh cho kết quả “chưa đăng ký” sai.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: chức năng “Gửi lại” (Resend) trên một email đã ghi log giờ đã bao gồm cả các tệp đính kèm gốc, vốn trước đây bị bỏ sót.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: đã thêm một tùy chọn để thực sự tắt việc ghi log email ngay trên màn hình Email Log; trước đây chỉ có thể tắt bằng cách chỉnh sửa trực tiếp database.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: thiết lập “số lượng log tối đa” của Email Log giờ được job dọn dẹp hằng ngày áp dụng, bên cạnh thiết lập lưu trữ theo số ngày hiện có.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: cửa sổ chi tiết Email Log giờ sẽ escape tiêu đề email/địa chỉ/phản hồi SMTP trước khi hiển thị, để đồng nhất với các popup log của Spam Filter và CAPTCHA.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: giới hạn tốc độ (rate limit) của AI Payment Vision giờ chỉ được áp dụng sau khi ảnh biên lai đã thực sự được tải về, thay vì chặn các lần thử lại ngay sau khi xác thực ban đầu thất bại.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: đã khắc phục việc sử dụng text-domain không nhất quán ở nhiều file, để tất cả các chuỗi có thể dịch được load đúng theo text-domain riêng của plugin.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: khi gỡ cài đặt plugin, giờ đây hệ thống cũng sẽ xóa một bảng database còn sót lại, bốn tùy chọn (option) ví WooCommerce, các transient còn lại, và các cron event đã lên lịch (bao gồm cả một tác vụ nền của AI Writer đang chờ xử lý), để không còn dữ liệu nào bị bỏ sót.
  Mức độ ưu tiên: Thấp
• Tài liệu: đã thêm mục Câu hỏi thường gặp (FAQ) vào file readme này.
  Mức độ ưu tiên: Thấp
• Tài liệu: đã công khai thông tin về các kênh thông báo Telegram, Discord và webhook tùy chỉnh được sử dụng bởi module AI Payment (tùy chọn) trong mục External Services; trước đây các kênh này chưa được ghi trong tài liệu.
  Mức độ ưu tiên: Thấp
• Tài liệu: đã công khai thông tin về Pollinations.ai và Picsum.photos — tính năng dự phòng không cần API key được AI Writer tự động sử dụng — trong mục External Services; trước đây các dịch vụ này chưa được ghi trong tài liệu.
  Mức độ ưu tiên: Thấp
• Tài liệu: đã công khai thông tin về request đến online.gov.vn được thực hiện bởi tính năng kiểm tra huy hiệu đăng ký Bộ Công Thương, trong mục External Services.
  Mức độ ưu tiên: Thấp

4.7.5

• Sửa lỗi: trang AI Payment hiển thị “undefined” ở mọi nhãn và bảng kết quả xác minh — nguyên nhân do trùng lặp đối tượng i18n, khiến tab bao ngoài ghi đè lên các chuỗi dịch của tab con.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: trang order-received (trang cảm ơn) — giờ đây bắt buộc phải có ảnh biên lai trước khi xác nhận chuyển khoản ngân hàng khi AI OCR được bật; việc xác nhận chuyển khoản sẽ bị chặn đối với các đơn hàng đã được admin xử lý trước đó; trang giờ sẽ tự động đồng bộ trạng thái (nút bấm, banner, huy hiệu trạng thái) ngay sau khi xác nhận, thay vì phải tải lại trang thủ công.
  Mức độ ưu tiên: Thấp
• Sửa lỗi: icon đóng trên popup “Liên hệ hỗ trợ” (Contact support) ở trang cảm ơn bị lệch hình do thiếu quy tắc CSS box-sizing.
• Sửa lỗi: nút đóng (X) trên popup xác nhận “AI SEO Scan” trước đây không bấm được, do bị một lớp overlay trang trí che khuất.
• Sửa lỗi: AI SEO Scan không còn tự “bịa” ra các liên kết nội bộ không tồn tại — gợi ý giờ chỉ giới hạn trong các bài viết/trang/sản phẩm thật có trên site, và được xác thực lại trước khi hiển thị.
• Sửa lỗi: AI SEO Scan không còn tự động chèn tiêu đề và nội dung giữ chỗ (placeholder) vào bài viết khi bấm Áp dụng — các tiêu đề gợi ý giờ chỉ hiển thị để tham khảo, người dùng tự thêm vào theo cách thủ công.
• Sửa lỗi: AI SEO Scan cho Sản phẩm giờ đọc đúng taxonomy danh mục sản phẩm (product_cat) thay vì taxonomy danh mục bài viết, giúp cải thiện chất lượng gợi ý.
• Sửa lỗi: đã khắc phục một icon SVG bị lỗi định dạng gây ra lỗi console trên trình duyệt trong popup xác nhận quét SEO.
• Cải thiện: các thao tác nhanh của AI Payment (Xác nhận/Nghi ngờ/Từ chối/Yêu cầu biên lai) giờ sẽ cảnh báo rõ ràng khi email thông báo cho khách hàng không gửi được (do thiếu email thanh toán), thay vì âm thầm báo thành công.

4.7.4

• Sửa lỗi: Pop-up không hiển thị trên các site mới cài đặt chạy PHP 8, dù đã được bật — do so sánh lỏng (“” == 0) trả về false trên PHP 8 (khác với PHP 7), khiến bộ chọn mẫu Pop-up (Newsletter/Banner) không khớp được. Giờ giá trị mặc định đã được chuẩn hóa, tự khắc phục (self-healing) ngay cả trên các site đã lỡ lưu giá trị rỗng từ trước.
• Sửa lỗi: các công tắc bật/tắt (Pop-up, Contact Channels, SMTP, Maintenance…) và nút Lưu giờ sẽ chủ động xóa page cache (LiteSpeed, WP Rocket, W3TC, WP Fastest Cache, Breeze, SG Optimizer, Swift Performance) ngay sau khi lưu, tránh tình trạng các site dùng full-page cache hiển thị dữ liệu cũ (stale).
• Sửa lỗi: đã gỡ bỏ các route debug nội bộ còn sót lại /feedback và /feedback/api/ khỏi môi trường dev — các route này có thể vô tình chặn/ghi đè nội dung thật của site khách nếu bị trùng đường dẫn (path).

4.7.3

• Bảo mật: form kết nối AI không còn tự động điền sẵn API key đã lưu (trước đây có thể lộ ra qua View Source dù đã che bằng dấu password); trường này giờ để trống và hiển thị gợi ý placeholder khi đã có key được lưu, để chỉ khi dán giá trị mới thì kết nối mới được cập nhật.
  Mức độ ưu tiên: Thấp
• Đã sửa: lỗi ảnh không hiển thị ở phần xem trước logo đăng nhập và trên trang đăng nhập thực tế, khi logo đã chọn trước đó bị xóa khỏi thư viện media; đã thêm bước kiểm tra tệp có tồn tại hay không, với phương án dự phòng là logo mặc định của plugin.
• Cải thiện: đã chuyển thông báo cảnh báo chế độ bảo trì (maintenance-mode) lên đầu trang cài đặt Pop-up để hiển thị ngay mà không cần cuộn trang.

4.7.2

• Vá bảo mật: các request chưa đăng nhập tới /wp-admin/ trước đây bị chuyển hướng qua đúng slug đường dẫn đăng nhập tùy chỉnh, vô tình để lộ đường dẫn này cho bất kỳ ai dò tìm đường dẫn admin mặc định, làm mất tác dụng ẩn đường dẫn đăng nhập. Nay truy cập bị chặn sẽ chuyển hướng về trang chủ thay vì lộ đường dẫn.
• Đã sửa: tính năng tùy chỉnh đường dẫn đăng nhập chặn nhầm các request admin-ajax.php và admin-post.php, khiến các form/AJAX công khai (form liên hệ, popup, WooCommerce) bị lỗi đối với khách chưa đăng nhập.
• Đã sửa: bộ chọn cấp độ “Detect code/script content” của Spam Filter không thể thao tác khi công tắc đang tắt, dropdown có thể bị cắt xén hiển thị, và nhãn bật/tắt có thể không cập nhật khi click do lỗi JS scoping ảnh hưởng đến toàn bộ công tắc của Spam Filter.

4.7.1

• Đã sửa: lỗi fatal PHP parse error trên server PHP 7.4 do dùng cú pháp match() (chỉ hỗ trợ từ PHP 8.0 trở lên) trong bộ xử lý thống kê xác minh của AI Payment; đã thay bằng câu lệnh switch để tương thích rộng hơn với nhiều môi trường hosting.

4.7

• Thêm module AI Hub, hỗ trợ nhiều nhà cung cấp AI (Gemini, Claude, OpenAI) với cơ chế dự phòng tự động 3 cấp.
• Thêm module Spam Filter với honeypot, giới hạn tần suất truy cập (rate limiting), chặn theo IP/quốc gia và lọc từ khóa.
• Thêm module Email Log để theo dõi toàn bộ email gửi đi kèm chẩn đoán SMTP.
• Thêm module Captcha, hỗ trợ Math Quiz, Google reCAPTCHA, Cloudflare Turnstile và hCaptcha.
• Thêm module Form Manager để thu thập và quản lý dữ liệu form gửi về.
• Thêm module Chế độ bảo trì với 5 mẫu giao diện tùy chỉnh và khả năng tạo nội dung bằng AI.
• Thêm module AI Payment cho WooCommerce: xác minh biên lai bằng OCR, phát hiện gian lận, cảnh báo rủi ro.
• Thêm trang Thống kê Token AI, theo dõi mức sử dụng theo từng nhà cung cấp.
• Bảo mật: thêm kiểm tra ABSPATH cho toàn bộ file PHP để chặn truy cập trực tiếp.
• Bảo mật: toàn bộ dữ liệu do người dùng nhập trong truy vấn cơ sở dữ liệu đều sử dụng $wpdb->prepare().
• Thêm file uninstall.php để dọn sạch toàn bộ dữ liệu plugin khi gỡ cài đặt.
• Đã sửa: khóa/vô hiệu hóa công tắc bật-tắt khi chưa kết nối nhà cung cấp AI.
• Đã sửa: biểu tượng con mắt ở ô nhập API Key nay chuyển đổi đúng giữa trạng thái ẩn/hiện.
• i18n: bổ sung bản dịch tiếng Anh (en_US) đầy đủ.

4.6

• Cải tiến Bộ công cụ WooCommerce: liên kết sàn TMĐT, tìm kiếm đơn hàng theo số điện thoại.
• Module Pop-up: lên lịch hiển thị, tùy chỉnh quy tắc hiển thị, popup đăng ký bản tin.
• Module bảo mật: tùy chỉnh đường dẫn đăng nhập, tắt chỉnh sửa file từ trang quản trị.
• Thêm hỗ trợ tải lên file SVG.