В популярном плагине для WordPress обнаружена критическая уязвимость

В популярном плагине для WordPress обнаружена критическая уязвимость

В популярном плагине для WordPress обнаружена критическая уязвимость

Исследователи обнаружили, что в плагине для WordPress NextGEN Gallery, который установили более миллиона раз, содержится критическая уязвимость внедрения SQL-кода (SQL injection).

Брешь в безопасности была обнаружена экспертами Sucuri, она позволяет удаленному злоумышленнику легко получить доступ к базе данных атакуемого веб-сайта.

Существует эта уязвимость из-за того, что разработчики плагина неправильно обрабатывают ввод пользовательских данных. Проблема была устранена на прошлой неделе с выпуском версии 2.1.79, но об этом нет никакого упоминания в журнале изменений.

«Уязвимость имеет критический уровень опасности. Если вы используете уязвимую версию этого плагина, обновляйте его как можно скорее» - предупреждают эксперт Sucuri.

По словам исследователей, есть два сценария атаки: в первом сайт должен использовать NextGEN Basic TagCloud Gallery, а во втором пользователям должно быть разрешено отправлять сообщения для проверки.

В первом сценарии злоумышленник может выполнить SQL-запрос путем изменения URL галереи. Во втором прошедший проверку подлинности злоумышленник может выполнить вредоносный код через shortcodes.

На данный момент не было никаких сообщений о том, что эта уязвимость используется в реальных случаях. Однако эксперты прогнозируют, что в будущем эта брешь будет эксплуатироваться из-за большого количества сайтов, на которых установлен затронутый плагин.

Microsoft заплатит пользователям Edge за вербовку друзей

Microsoft тестирует в Edge Canary реферальную программу: пользователям предлагают приглашать друзей в мобильный Edge и получать за это баллы Microsoft Rewards. За каждого удачно завербованного любителя браузеров начислят 500 баллов, а месячный потолок составит 7500 баллов.

Карточка Refer Friends to Edge App появилась во всплывающем окне Microsoft Rewards.

В ней можно создать персональную ссылку и отправить её через WhatsApp, Facebook (принадлежат корпорации Meta, признанной экстремистской и запрещённой в России), X или электронную почту. Для тех, кто предпочитает действовать по старинке, предусмотрена кнопка копирования.

Следить за успехами своей маленькой армии распространителей Edge можно в мобильном приложении. Для перехода в него Microsoft добавила QR-код.

 

На Android реферальная ссылка открывает страницу Microsoft Edge — Refer and Earn Rewards Points. Если браузер не установлен, пользователя отправляют в Google Play. После загрузки и запуска Edge необходимо войти в учётную запись Microsoft и согласиться с условиями программы. Награду могут получить как автор приглашения, так и новый пользователь.

Microsoft связала весь маршрут в одну цепочку: создать ссылку на компьютере, поделиться ею в мессенджере, установить Edge на смартфон и аутентифицироваться. В WhatsApp приглашение даже получает фирменную карточку, чтобы друг сразу понял, что его зовут не просто скачать ещё один браузер, а поучаствовать в охоте за баллами.

Пока функция замечена только в Edge Canary. Отдельного экспериментального флага у неё нет, поэтому Microsoft, вероятно, включает программу на сервере для ограниченной группы пользователей.

Доберётся ли реферальная щедрость до стабильной версии Edge и в каких странах она заработает, неизвестно.

RSS: Новости на портале Anti-Malware.ru