Баг в плагине WordPress позволяет наделить любого правами администратора

Баг в плагине WordPress позволяет наделить любого правами администратора

Баг в плагине WordPress позволяет наделить любого правами администратора

Критическую уязвимость, допускающую повышение прав, обнаружили в SEO-плагине для WordPress — Rank Math. В случае эксплуатации атакующие могут наделить правами администратора любого зарегистрированного пользователя.

Плагин Rank Math установлен приблизительно на 200 тыс. сайтов в Сети. Разработчики описывают его как «швейцарский армейский нож» для SEO.

Rank Math поставляется с мастером установки, с помощью которого процесс инсталляции можно пройти пошагово. Помимо прочего, плагин поддерживает интеграцию с Google Search Console.

Что касается обнаруженной уязвимости — брешь позволяет не прошедшему аутентификацию злоумышленнику наделить правами администратора любого зарегистрированного на сайте пользователя.

Стоит отметить, что дыра действует и в обратном направлении — атакующий может лишить прав любого администратора WordPress-сайта.

По словам команды Wordfence Threat Intelligence, обнаружившей данную проблему безопасности, потенциальный злоумышленник может также обновлять метаданные, комментарии и посты. В результате открывается возможность для XSS-атаки.

В России могут создать криминалистическую картотеку компьютеров и гаджетов

В России могут создать новую систему криминалистического учёта, которая будет идентифицировать компьютеры и другие электронные устройства по оставленным ими цифровым следам. Такое направление вошло в проект плана по реализации доктрины борьбы с ИТ-преступлениями, опубликованный Минцифры.

Предполагается, что система займётся сбором, хранением и обработкой данных из Сети. Какие именно сведения будут попадать в базу и кто получит к ней доступ, в документе пока не уточняется.

Одновременно власти предлагают развивать специализированные аналитические программы для исследований и судебных компьютерно-технических экспертиз.

Ещё один пункт — закрепить в законодательстве порядок использования информации из открытых источников в качестве доказательств по уголовным делам. Проще говоря, найденные в интернете цифровые следы хотят не просто складывать в папку, а официально приносить в суд.

Правда, готовой системы пока нет. В Минцифры подчёркивают, что документ описывает лишь направления работы, а для реализации некоторых инициатив ещё потребуется изменить нормативную базу. Проект вынесен на общественное обсуждение, поэтому его содержание может поменяться.

Если задумка доберётся до практики, у криминалистов появится цифровая картотека нового поколения: вместо отпечатков пальцев — следы компьютеров и гаджетов в Сети. Но самые любопытные детали — состав данных, сроки хранения и правила доступа — разработчикам ещё предстоит раскрыть.

RSS: Новости на портале Anti-Malware.ru