Новая версия движка WordPress 5.0 сливала в Google учетные данные юзеров

Новая версия движка WordPress 5.0 сливала в Google учетные данные юзеров

Новая версия движка WordPress 5.0 сливала в Google учетные данные юзеров

Спустя всего неделю после выхода крупного обновления движка WordPress команда разработчиков была вынуждена выпустить срочный патч для WordPress 5.0. В обновленной версии WordPress 5.0.1 устраняются семь проблем безопасности (некоторые из них позволяют получить контроль над сайтом), а также устраняется очень серьезная утечка важных данных.

Проблему утечки обнаружили разработчики плагина Yoast SEO — оказалось, что баг приводил к тому, что поисковая система Google индексировала учетные данные пользователей сайта на WordPress.

Используя специальные поисковые запросы в Google, злоумышленник мог найти страницы с учетными данными, где он мог собрать адреса электронной почты и сгенерированные автоматом пароли.

Такая уязвимость могла иметь катастрофические последствия, если в руки третьего лица попадали пароли администраторов. В том случае, если пользователь не изменил сгенерированный движком пароль (а так бывает довольно часто), атакующий мог получить доступ к сайту.

Разработчики популярной CMS также добавили в WordPress 5.0.1 поддержку более серьезной проверки MIME для загружаемых файлов.

Подпишитесь на новости

Anthropic сообщила полиции об угрозах нападения в чате с Claude

Разговор с ИИ закончился визитом полиции. Во Флориде 30-летнюю Карли Мишель Хеллер обвинили в письменных угрозах насилия после переписки с Claude. По версии следствия, она заявила о намерении устроить стрельбу в офисе шерифа округа Ли, а затем сообщила, что приобрела оружие.

Как пишет Gulf Coast News, сообщения заметили системы безопасности Anthropic. Переписку передали на проверку человеку, после чего компания уведомила правоохранителей.

По сообщениям СМИ, сотрудники установили личность Хеллер и задержали её дома без лишнего шума. Шериф Кармайн Марсено рассказал, что женщина использовала Claude как дневник.

Хеллер предъявили обвинение в преступлении второй степени по закону Флориды. Виновность женщины предстоит установить суду.

История показывает границу, о которой легко забыть за дружелюбным интерфейсом: чат с ИИ нельзя воспринимать как дневник в запертом ящике. В этом случае потенциально опасные сообщения прошли автоматическую проверку, оценку специалиста и дошли до полиции.

При этом делать вывод, что любая резкая фраза автоматически приводит к аресту, оснований нет. Здесь, по версии следствия, переписка содержала конкретную цель предполагаемого нападения и заявление о приобретении оружия. Именно эти обстоятельства теперь будут разбирать в рамках дела.

RSS: Новости на портале Anti-Malware.ru