В WP-плагине для защиты от брутфорса выявлены две уязвимости 0-day

В WP-плагине для защиты от брутфорса выявлены две уязвимости 0-day

В WP-плагине для защиты от брутфорса выявлены две уязвимости 0-day

Итальянские исследователи опубликовали информацию о двух уязвимостях нулевого дня, которые они обнаружили в WordPress-плагине Limit Login Attempts Reloaded. Одна из них позволяет обойти защиту доступа к сайту, другая — провести XSS-атаку. Обе проблемы были устранены в прошлом году.

Согласно описанию на сайте разработчика, расширение Limit Login Attempts Reloaded предназначено для защиты от брутфорс-атак. Механизм, реализуемый плагином, позволяет ограничить число попыток авторизации на сайте с одного и того же IP-адреса.

В настоящее время на счету Limit Login Attempts Reloaded числится более 1 млн активных установок. Его текущая версия — 2.19.2.

Уязвимости, о которых идет речь, классифицируются следующим образом:

  • CVE-2020-35590 — неадекватное ограничение множественных попыток авторизации; проявляется при кастомных настройках, грозит обходом такой защиты; 9,8 балла по шкале CVSS;
  • CVE-2020-35589 — неадекватная нейтрализация входных данных при генерации веб-страниц; эксплойт не требует аутентификации и открывает возможность для межсайтового скриптинга; 5,4 балла по CVSS.

Обе бреши обнаружили специалисты крупнейшей телекоммуникационной компании Италии — TIM (ранее Telecom Italia). В целях повышения безопасности своей инфраструктуры провайдер создал небольшое исследовательское подразделение, которое занялось поиском недокументированных уязвимостей. Эта команда публикует свои находки каждые десять дней и уже успела выявить 37 уязвимостей в продуктах Oracle, Nokia, Siemens, Schneider Electric, QNAP, Selesta, WOWZA, MultiUX и WordPress.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

15 454 ₽ за раз: рост атак через вредоносные приложения перед распродажами

Перед стартом сезона больших распродаж эксперты F6 и RuStore фиксируют резкий рост активности мошенников, распространяющих вредоносные мобильные приложения через сторонние площадки. По их данным, в октябре 2025 года средний чек — сумма, которую злоумышленники похищают за одну операцию, — достиг 15 454 рублей. Это на 66% больше, чем месяцем ранее.

Директор по информационной безопасности RuStore Дмитрий Морев отмечает, что перед крупными акциями мошенники традиционно усиливают давление на пользователей, создают всё более правдоподобные поддельные приложения и увеличивают суммы хищений.

Он напоминает, что загружать программы нужно только из официальных источников, таких как RuStore, не переходить по сомнительным ссылкам и не делиться конфиденциальными данными, даже если запросы выглядят достоверно.

По словам специалистов, преступники используют весь набор современных инструментов: вредоносные приложения, подделывающие внешний вид легальных сервисов, и целевые фишинговые рассылки, подготовленные специально к пику покупательской активности.

Руководитель F6 Digital Risk Protection Станислав Гончаров подчеркивает, что ретейлерам также стоит быть начеку. В период «Черной пятницы» злоумышленники часто используют бренды в фейковых «коллаборациях», чтобы заманить пользователей. Поэтому защита цифровой инфраструктуры бренда должна быть такой же приоритетной, как и рекламные кампании.

Чтобы снизить риски в периоды пиковых кибератак, эксперты советуют включить двухфакторную аутентификацию и СМС-оповещения в банковских приложениях. При малейших подозрениях на мошенничество необходимо сразу блокировать карты и счета через горячие линии.

Для противодействия таким угрозам RuStore и F6 используют технологии Digital Risk Protection на базе искусственного интеллекта. Они автоматически выявляют и блокируют фишинговые сайты и поддельные приложения, маскирующиеся под легальные сервисы.

Пик мошеннической активности приходится на акции ко Всемирному дню шопинга 11 ноября и распродажи, приуроченные к «Черной пятнице».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru