Эксперт выявил серьёзную уязвимость на поддомене PayPal

Эксперт выявил серьёзную уязвимость на поддомене PayPal

Эксперт выявил серьёзную уязвимость на поддомене PayPal

 Эксперт в области информационной безопасности Прахар Прасад (Prakhar Prasad) выявил серьёзную уязвимость на поддомене PayPal - BillMeLater.com. Используя данную уязвимость, злоумышленники получали возможность загружать на сервера PayPal файлы различных форматов.

Источником уязвимости стала устаревшая версия CMS DotNetNuke, которая позволяла загружать на сайты файлы следующих форматов: docx, xlsx, pptx, swf, jpg, jpeg, jpe, gif, bmp, png, doc, xls, ppt, pdf, txt, xml, xsl, css, zip и spin.

По словам эксперта, используя данную уязвимость, киберпреступники могли загружать вредоносные файлы. Например, загрузив вредоносный swf-файл, они могли создать на сайте XSS-уязвимость; при помощи инфицированных файлов формата: docx, pptx, xls или pdf - загрузить на сервер BillMeLater клиентские эксплойты; а в файле формата txt хакеры могли загрузить сообщение, позволяющее обезобразить сайт.

 

Эксперт утверждает, что попытался загрузить командную оболочку, которая позволила бы ему выполнить произвольный код. Однако его попытки не увенчались успехом, так как программное обеспечение сервера было своевременно обновлено.

Прахар Прасад (Prakhar Prasad) выявил вышеописанную уязвимость 1 марта, сразу же проинформировав об этом PayPal. Специалисты PayPal незамедлительно закрыли уязвимость, а Прасад получил от платёжной системы вознаграждение в размере $5000 (3800 евро).

Здесь был ИИ: журналистам предложили маркировать нейросетевые материалы

Союз журналистов России выступил за обязательную маркировку материалов, созданных с применением искусственного интеллекта. Причём редакциям предлагают не ограничиваться лаконичным «сделано с помощью ИИ», а подробно объяснять, что именно он делал с текстом.

Согласно рекомендациям СЖР, дисклеймер следует размещать в начале или конце публикации.

В нём нужно указывать конкретную роль технологии: нейросеть могла подготовить черновик, перевести материал, отредактировать его или выполнить другую задачу.

Отдельно предлагается сообщать, участвовал ли человек в проверке результата. Таким образом, читатель сможет понять не только происхождение текста, но и выяснить, посмотрел ли на него живой редактор перед публикацией.

При этом СЖР рекомендует не маркировать как сгенерированный аутентичный контент, если ИИ не участвовал непосредственно в его создании. Это должно предотвратить путаницу.

Инициатива пока оформлена как рекомендации для прессы. Не определены также единая формулировка дисклеймера, критерии значимого участия ИИ и ответственность редакций за отсутствие маркировки.

RSS: Новости на портале Anti-Malware.ru