Smart TV от Samsung, LG отправляют данные пользователей Facebook, Google

Smart TV от Samsung, LG отправляют данные пользователей Facebook, Google

Smart TV от Samsung, LG отправляют данные пользователей Facebook, Google

Исследователи выяснили, что «умные» телевизоры таких крупных производителей, как Samsung и LG отправляют конфиденциальные данные пользователей партнерам, среди которых также есть узнаваемые имена: Facebook, Amazon, Google и Netflix.

Эксперты подчеркнули, что передача данных происходит даже в тот момент, когда устройства с виду бездействуют. При этом факт шпионажа за пользователями и слива информации подтвердили два отдельных независимых исследования.

Первое исследование провёл сотрудник Washington Post, второе — специалисты Северо-восточного университета в Бостоне.

В отчёте сотрудников университета утверждается, что устройства класса smart TV передают партнерам информацию, раскрывающую предпочтения пользователей по части просматриваемого контента.

Исследователи проанализировали 81 устройство, среди которых были smart TV от Samsung, LG и Roku. В результате оказалось, что 72 девайса отправляли данные третьим лицам.

Чаще всего устройства связывались с Google, Akamai и Microsoft. Эксперты считают, что причина кроется в том, что эти корпорации предоставляют облачные и сетевые услуги для умных девайсов.

Представители Принстонского университета также опубликовали результаты своего исследования, согласно которым среди отравляемой устройствами информации были данные о просмотре пользователями конкретных каналов.

Для этого используются специальные трекеры, которыми управляют в основном Google и Facebook. Эксперты нашли такие трекеры на 89% каналов Amazon Fire TV и 69% каналов Roku. Именно они собирали все данные о привычках пользователей и их предпочтениях.

Более того, передаваемая информация содержала уникальные идентификаторы устройств, серийные номера, номера сетей Wi-Fi и MAC-адреса.

Критическая дыра в Elementor Pro позволяет захватывать WordPress-сайты

В плагине Elementor Pro для WordPress обнаружили критическую уязвимость CVE-2026-32475, позволяющую без аутентификации загрузить на сервер PHP-файл и выполнить произвольный код. Под угрозой находятся версии до 4.2.2. Проблема скрывается в модуле загрузки файлов.

Как выяснили специалисты Patchstack, проверка и сохранение вложений выполняются разными циклами, которые неодинаково реагируют на пустое имя файла.

Атакующий может отправить специально подготовленный запрос из нескольких частей. В первой будет файл без имени, а во второй — PHP-бэкдор. Проверка споткнётся о пустую запись и завершится, так и не добравшись до полезной нагрузки.

А обработчик загрузки, наоборот, пропустит пустышку и заботливо сохранит следующий файл в публичном каталоге wp-content/uploads/elementor/forms/.

После этого остаётся определить имя загруженного файла и открыть его по прямой ссылке. Сервер запустит PHP-код с правами веб-сервера, и сайт фактически перейдёт под управление атакующего.

Имя можно подобрать по времени создания, а в некоторых конфигурациях точный адрес файла способен утечь через письмо автоответчика.

Для атаки на сайте должна быть опубликована форма Elementor Pro с полем загрузки и включённой возможностью прикреплять несколько файлов. Эта настройка по умолчанию отключена. Бесплатная версия Elementor, насчитывающая более 10 млн установок, уязвимости не подвержена.

Разработчики закрыли брешь в Elementor Pro 4.2.2. Администраторам советуют немедленно обновить плагин и проверить каталог загрузок на PHP-файлы и другие незнакомые сюрпризы. Само обновление уже заброшенные бэкдоры не удалит.

Активных атак пока не зафиксировано. Но теперь, когда технические подробности опубликованы, они не заставят себя ждать.

RSS: Новости на портале Anti-Malware.ru