Недостатки в плагинах WordPress от Multidots подвергают сайты опасности

Недостатки в плагинах WordPress от Multidots подвергают сайты опасности

Исследователи компании ThreatPress обнаружили уязвимости в десяти плагинах для популярной системы управления контентом WordPress, разработанных компанией Multidots. Эти плагины используются на сайтах интернет-магазинов (e-commerce). Уязвимые плагины доступны на сайте WordPress.org, они реализуют набор функций для инсталляций WooCommerce, что позволяет администраторам управлять своими интернет-магазинами. В настоящее время эти плагины используются на 20 000 сайтах.

«На днях наша команда обнаружила серьезные проблемы с безопасностью в десяти плагинах WordPress, все эти плагины были разработаны Multidots. Все интернет-магазины, работающие с WooCommerce находятся в опасности», — говорится в блоге ThreatPress.

«В частности, мы обнаружили возможность межсайтового скриптинга (XSS) и SQL-инъекции, которые злоумышленники могут использовать для внедрения кейлоггеров, шеллов, майнеров и других вредоносных составляющих. Кроме того, с помощью этих брешей можно произвести дефейс уязвимого сайта».

В итоге эксперты вычленили четыре уязвимости, которые получили следующие идентификаторы: CVE-2018-11579, CVE-2018-11580, CVE-2018-11633 и CVE-2018-11632. Эти недостатки открывают возможность для осуществления атак самого разного типа. Специалисты отмечают, что некоторые из них могут быть использованы без какого-либо взаимодействия с пользователем.

8 мая исследователи сообщили разработчикам Multidots об имеющихся проблемах, компания признала наличие недостатков. Однако до сих пор не были выпущены никакие обновления безопасности, которые устранили бы вышеозначенные уязвимости.

ThreatPress не стала долго ждать, опубликовав PoC-код и технические детали обнаруженных брешей. Эксперты также пожаловались на отсутствие механизма, с помощью которого можно было бы уведомить владельцев всех затронутых сайтов о возможной киберугрозе.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Аладдин Р.Д. получила лицензию Министерства обороны России

Компания «Аладдин Р.Д.», российский разработчик и поставщик решений для обеспечения информационной безопасности, подтвердила соответствие требованиям нормативных документов Министерства обороны Российской Федерации в области создания средств защиты информации.

Лицензия № 1823 (PDF), выданная Министерством Обороны РФ по окончании срока действия лицензии № 1384, даёт право на выполнение работ по проектированию, разработке, производству, реализации, установке, монтажу, наладке, испытаниям, ремонту, сервисному обслуживанию средств защиты информации на всей территории Российской Федерации.

Лицензия № 1823, действительная до 26 августа 2024 года, выдана на деятельность в области создания средств защиты информации.

Помимо этого, компания имеет все необходимые лицензии ФСТЭК России и ФСБ России. Система менеджмента качества «Аладдин Р.Д.» соответствует требованиям национальных стандартов ГОСТ Р ИСО 9001-2015 и ГОСТ РВ 0015-002-2012.

В июне «Аладдин Р.Д.» объявила о выпуске новой опции в рамках продукта JaCarta Authentication Server (JAS). В комплект поставки сервера аутентификации (JAS) была добавлена новая функция аутентификации – JAS OTP Logon (JOL).

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru