Критический баг в плагине WordPress Ad Inserter позволяет выполнить код

Критический баг в плагине WordPress Ad Inserter позволяет выполнить код

Критический баг в плагине WordPress Ad Inserter позволяет выполнить код

Плагин для движка WordPress Ad Inserter установили более 200 тыс. сайтов. Исследователи предупреждают: плагин уязвим, аутентифицированный атакующий может удаленно выполнить PHP-код.

Ad Inserter позволяет владельцам сайтов управлять рекламой на своих ресурсах и размещать ее в оптимальных местах. Этот плагин поддерживает Google AdSense, Google Ad Manager, Amazon Native Shopping Ads, Media.net и ротацию баннеров.

Найденная в аддоне уязвимость существует из-за использования check_admin_referer() для авторизации. Изначально эта функция была призвана защитить сайты от CSRF-атак.

Брешь получила статус критической, она актуальна для всех сайтов на WordPress, где установлен Ad Inserter 2.4.21 или более старые версии плагина. Обновление плагина до версии 2.4.22 поможет устранить эту проблему.

По словам команды Wordfence, аутентифицированный атакующий может обойти проверку авторизации, которую реализует функция check_admin_referer(). В результате злоумышленник сможет получить доступ к режиму отладки, предусмотренному в Ad Inserter.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники собирают фото и голос россиян для дипфейков и взломов

Телефонные мошенники всё активнее собирают фотографии и образцы голоса россиян, чтобы использовать их в дальнейших атаках. Эти данные применяются для генерации дипфейков, взлома аккаунтов и других преступных сценариев. Наибольшую ценность для злоумышленников представляют именно голос и изображения.

О росте интереса к биометрическим данным россиян сообщили в пресс-центре МВД в ответ на запрос ТАСС.

«Угроза кражи биометрических данных — это угроза вашей идентичности, репутации и приватности в долгосрочной перспективе. В настоящее время мошенники в основном собирают фотографии и голоса россиян», — пояснили в ведомстве.

По данным МВД, полученные материалы используются для создания дипфейков, которые задействуются в различных схемах обмана, в том числе для воздействия на людей из окружения жертвы.

Обычно мошенники применяют такие дипфейки, чтобы просить о срочной помощи от имени взломанных учетных записей. Ряд компаний, специализирующихся на борьбе с мошенничеством, фиксировал подобную активность еще летом.

В МВД также отметили, что дипфейки используются и для взлома аккаунтов, прежде всего в сервисах, где задействована биометрическая аутентификация, включая видеоидентификацию.

Кроме того, поддельные изображения применяются для создания учетных записей несуществующих людей, в схемах от имени руководителей компаний, при заполнении анкет для трудоустройства. В некоторых случаях такие материалы просто продаются.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru