Бреши в WooCommerce и WordPress могут полностью скомпрометировать сайт
Новости Отредактировано
Уязвимость в системе ролей пользователей позволяет перехватить контроль и отредактировать аккаунты всех пользователей, в том числе администратора сайта.
1К открытий1К показов
Специалисты RIPS Technologies обнаружили бреши в плагине электронной коммерции WooCommerce для CMS WordPress. Уязвимости позволяют взять контроль над сайтом.
Суть уязвимости
В плагине сразу две проблемы. Первая состоит в том, что в модуле, добавляющем роли для пользователей, используется система привилегий WordPress. Плагин добавляет новую роль, а затем ограничивает её взаимодействие с настройками системы, используя собственные механизмы.
Одной из ролей является Shop Manager («менеджер магазина») с правом edit_users для редактирования учётных записей пользователей вплоть до администратора. В обычных условиях WooCommerce ограничивает это право. Но при отключении плагина защита снимается и Shop Manager получает доступ к другим учётным записям.
Вторая ошибка на версиях WooCommerce 3.4.5 и ниже приводит к тому, что Shop Manager может удалить любой файл плагина, в том числе критически важный для работы. Если это произойдёт, WordPress отключит плагин. Именно это и даст Shop Manager возможность редактировать чужие профили.
Опасность бреши
По словам исследователей, хакеру достаточно получить доступ к аккаунту Shop manager. Это возможно при использовании фишинга или XSS-уязвимостей. После этого злоумышленник может взять контроль над всем сайтом, просто сменив администратора.
Разработчики WooCommerce уже выпустили версию 3.4.6, в которой убрали эту брешь. Однако проблема остаётся, поскольку не все сайты на WordPress автоматически обновляют плагины. Потому рекомендуется проверить это и, в случае необходимости, обновить WooCommerce вручную. Актуальной версией является 3.5.1
В феврале 2017 года в WordPress была обнаружена брешь, которая позволяет провести десериализацию кода и, в определённых случаях, нарушить работу PHP-фреймворков.
1К открытий1К показов
NordPass опубликовала ежегодный рейтинг 200 самых популярных паролей, обнаружив, что миллионы пользователей продолжают использовать простые и уязвимые комбинации, такие как «123456»
Alek OS рассказал, как с развитием технологий изменялись модели и алгоритмы шифрования данных, почему мощность компьютера — основная причина их устаревания и как компьютеры обмениваются ключами дешифровки.
Разработчики из Proton представили свой новый интересный проект — «убийцу» Google Docs и Microsoft Word под названием Proton Docs
Шифрование – важный элемент обеспечения безопасности. В статье системного интегратора по информационной безопасности «Бастион» мы рассмотрим более 20 различных утилит для шифрования файлов и объясним, как их использовать.