XSS в плагине Live Chat Support для WordPress позволяет внедрить код

XSS в плагине Live Chat Support для WordPress позволяет внедрить код

XSS в плагине Live Chat Support для WordPress позволяет внедрить код

Уязвимость в плагине Live Chat Support для движка WordPress может быть использована злоумышленниками для внедрения вредоносных скриптов на атакуемые сайты. XSS-брешь в плагине обнаружили исследователи компании Sucuri.

Для эксплуатации этого бага киберпреступникам не обязательно проходить процесс аутентификации или иметь учетную запись на уязвимом сайте — все происходит удаленно.

Live Chat Support установили более 60 000 раз, этот плагин помогает создать на сайте чат, позволяющий клиентам задавать интересующие их вопросы. Все версии плагина до 8.0.27 оказались уязвимы.

Эксперты обращают внимание на тот факт, что киберпреступники могут автоматизировать атаки с использованием этой уязвимости. Это позволит охватить гораздо больше жертв.

XSS в этом случае работает таким образом, что вредоносный код загружается каждый раз при обращении посетителя сайта к его страницам.

По словам специалистов из Sucuri, проблема присутствует в функции wplc_head_basic, у которой отсутствует корректная проверка привилегий при обновлении настроек плагина.

«Хуки “admin_init“ могут вызываться через wp-admin/admin-post.php или /wp-admin/admin-ajax.php. Не прошедший аутентификацию атакующий может использовать это для обновления опции “wplc_custom_js“», — пишут исследователи.

Для решения проблемы эксперты рекомендуют установить версию WP Live Chat Support  8.0.27. Однако на момент написания материала сам плагин, похоже, вообще удален.

В России впервые оштрафовали за лайки под видео на YouTube

В России впервые вынесено судебное решение о штрафе за лайки под видеороликами на YouTube. Штраф в размере 30 тысяч рублей получил Василий Йовдий — пенсионер, уроженец Украины, проживающий в городе Ковдор Мурманской области. Суд признал его виновным в публичной дискредитации Вооружённых сил РФ.

Об этом сообщает телеграм-канал Baza со ссылкой на судебные материалы.

Основанием для решения стали одобрительные реакции в виде лайков, которые мужчина ставил под видеороликами на YouTube-каналах, принадлежащих иноагентам.

В материалах дела указано, что Йовдий, в частности, поставил лайк под видео о теракте 17 декабря 2024 года в Москве, в результате которого погибли начальник войск РХБЗ Игорь Кириллов и его адъютант Илья Поликарпов.

 

В ходе рассмотрения дела мужчина признал вину, раскаялся и заявил, что не поддерживает действующую власть на Украине. Суд учёл эти обстоятельства, а также его пенсионный возраст, и назначил минимальное наказание, предусмотренное статьёй 20.3.3 КоАП РФ.

История примечательна тем, что ранее ответственность за «лайки» в судах напрямую не применялась. При этом в 2024 году вице-спикер Госдумы Владислав Даванков, выдвигавшийся в президенты от партии «Новые люди», вносил законопроект, предлагающий запретить привлечение граждан к административной ответственности за реакции в соцсетях.

Он предлагал дополнить статьи КоАП о возбуждении ненависти и дискредитации ВС РФ примечанием о том, что выражение эмоций в виде лайков и реакций не должно рассматриваться как правонарушение. На данный момент эта инициатива так и не была принята.

Случай в Ковдоре может стать прецедентом, который покажет, как именно суды будут трактовать цифровые реакции пользователей в дальнейшем.

RSS: Новости на портале Anti-Malware.ru