Недостатки в плагинах WordPress от Multidots подвергают сайты опасности

Недостатки в плагинах WordPress от Multidots подвергают сайты опасности

Недостатки в плагинах WordPress от Multidots подвергают сайты опасности

Исследователи компании ThreatPress обнаружили уязвимости в десяти плагинах для популярной системы управления контентом WordPress, разработанных компанией Multidots. Эти плагины используются на сайтах интернет-магазинов (e-commerce). Уязвимые плагины доступны на сайте WordPress.org, они реализуют набор функций для инсталляций WooCommerce, что позволяет администраторам управлять своими интернет-магазинами. В настоящее время эти плагины используются на 20 000 сайтах.

«На днях наша команда обнаружила серьезные проблемы с безопасностью в десяти плагинах WordPress, все эти плагины были разработаны Multidots. Все интернет-магазины, работающие с WooCommerce находятся в опасности», — говорится в блоге ThreatPress.

«В частности, мы обнаружили возможность межсайтового скриптинга (XSS) и SQL-инъекции, которые злоумышленники могут использовать для внедрения кейлоггеров, шеллов, майнеров и других вредоносных составляющих. Кроме того, с помощью этих брешей можно произвести дефейс уязвимого сайта».

В итоге эксперты вычленили четыре уязвимости, которые получили следующие идентификаторы: CVE-2018-11579, CVE-2018-11580, CVE-2018-11633 и CVE-2018-11632. Эти недостатки открывают возможность для осуществления атак самого разного типа. Специалисты отмечают, что некоторые из них могут быть использованы без какого-либо взаимодействия с пользователем.

8 мая исследователи сообщили разработчикам Multidots об имеющихся проблемах, компания признала наличие недостатков. Однако до сих пор не были выпущены никакие обновления безопасности, которые устранили бы вышеозначенные уязвимости.

ThreatPress не стала долго ждать, опубликовав PoC-код и технические детали обнаруженных брешей. Эксперты также пожаловались на отсутствие механизма, с помощью которого можно было бы уведомить владельцев всех затронутых сайтов о возможной киберугрозе.

Подпишитесь на новости

Хватит копировать вкладки в чат: ChatGPT научили работать прямо в Chrome

ChatGPT получил более тесную интеграцию с Google Chrome: ассистент может использовать содержимое открытых вкладок и выполнять в них действия по поручению пользователя. В списке задач — заполнение форм, скачивание файлов, отправка сообщений и наведение порядка среди вкладок.

Об обновлении OpenAI рассказала в официальном аккаунте ChatGPT. Компания показала сценарии, в которых ассистент собирает информацию с нескольких страниц и использует её для выполнения задачи.

Например, можно сравнить товары по характеристикам, срокам доставки и условиям возврата. Или разобрать тарифы нескольких сервисов и выяснить, какой подходит под требования.

Расширение также позволяет работать с ChatGPT в боковой панели Chrome: обсуждать статью, получать выжимку отчёта или готовить письмо, оставаясь на нужной странице.

В сочетании с историей диалогов и подключёнными плагинами появляются более сложные сценарии: найти чеки в Gmail и перенести данные в форму возмещения расходов. Среди примеров OpenAI есть и заполнение регистрационной формы с остановкой перед отправкой.

Самая заметная перемена — переход от «объясни, куда нажать» к «выполни задачу в открытой вкладке».

RSS: Новости на портале Anti-Malware.ru