В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В расширении Facebook for WordPress (ранее Official Facebook Pixel) устранили две опасные уязвимости. Одна из них позволяет внедрить на сайт вредоносный PHP-код и удаленно запустить его на исполнение. Пользователям рекомендуется обновить продукт до новейшей версии — 3.0.5.

Плагин Facebook for WordPress встраивает в страницы фрагмент кода Facebook Pixel, способный мониторить трафик, регистрировать действия пользователей (просмотр контента, добавление товаров в корзину, оформление заказа), оптимизировать рекламу и создавать аудитории для рекламных кампаний. В настоящее время на счету этого продукта числится более 500 тыс. активных установок.

В конце декабря исследователи из Wordfence / Defiant обнаружили в Facebook for WordPress критическую уязвимость, связанную с ошибкой десериализации, которая возникает при выполнении функции run_action(). Авторы находки классифицировали ее как возможность инъекции PHP-объекта с оценкой 9 баллов по шкале CVSS.

Наличие данной уязвимости позволяет, минуя аутентификацию, загружать на сайт произвольные файлы и выполнить, таким образом, вредоносный код. Проблема актуальна для Facebook for WordPress версий 2.2.2 и ниже; разработчик ее устранил в начале января, выпустив сборку 3.0.0 плагина.

Вторая брешь, найденная 27 января, чуть менее опасна (8,8 балла). Она представляет собой возможность межсайтовой подделки запросов (CSRF), грозящей XSS-атакой. По свидетельству Wordfence, эта уязвимость была привнесена при выпуске версии 3 плагина. Готовя ребрендинг, разработчики переписали большую часть кода и расширили функциональность, добавив использование AJAX при сохранении изменений в настройках Facebook for WordPress.

Это было сделано с целью улучшить интеграцию плагина, однако новая реализация проверки разрешений при переходе в панель управления Facebook Pixel оказалась небезупречной. В итоге открылась возможность подменить настройки, указав на свою консоль, и украсть метрические данные сайта. Чтобы получить такой результат, злоумышленнику придется обманом заставить админа после авторизации выполнить нужное действие — например, совершить переход по ссылке.

Более того, поскольку санации настроек при их сохранении не производится, автор атаки может внести в значения вредоносный JavaScript, и он будет выполнен в браузере админа при заходе на страницу настроек. С помощью этого скрипта можно будет внедрить бэкдор в файлы тем или создать новый аккаунт администратора, чтобы захватить контроль над сайтом.

Уязвимости CSRF / XSS подвержены версии плагина с 3.0.0 по 3.0.3. Разработчик устранил ее в прошлом месяце в два приема; полный патч содержит сборка 3.0.4 (и, разумеется, 3.0.5 — новейшая на данный момент).

ИИ-турагент приглашал посетить горячие источники Австралии, которых нет

По прибытии на остров Тасмания любители экзотики, внявшие совету ИИ-блогера на сайте австралийского туроператора, обнаруживали, что разрекламированных термальных источников в сельской тиши не существует.

Не менее удивлена была хозяйка единственного и обычно безлюдного отеля в Вельдборо (поселок городского типа на севере Тасмании), когда ей стали звонить по пять раз в сутки и повалили гости, жаждущие искупаться с комфортом в несезон.

На расспросы о горячих источниках она лишь разводила руками, обещая поставить пиво тому, кто их найдет. В качестве альтернативы предлагала посетить местную сауну, а потом нырнуть в замерзающую реку, но разочарованные туристы шутку не оценили.

Запись с описанием тура и приманкой, порожденной угодливым, но склонным к галлюцинациям ИИ, уже удалена из каталога Tasmania Tours, но успела нанести вред репутации скромного турагентства, которое пыталось удержаться на плаву за счет использования высоких технологий.

Как оказалось, его владелец отдал маркетинг на аутсорс, взяв за правило проверять публикуемые материалы, однако на момент выхода блог-записи о мифической достопримечательности Тасмании он был в отъезде.

Согласно результатам исследования, проведенного в австралийском университете Южного Креста (Southern Cross), турагентства уже достаточно широко используют ИИ-технологии, притом не только для создания блог-записей, рекламных материалов, путеводителей, но также для составления смет.

Примечательно, что у туристов ИИ-рекомендации стали вызывать больше доверия, чем отзывы на специализированных сайтах. В настоящее время на суждения и продукты ИИ полагаются почти 37% любителей путешествий.

Исследование также показало, что 90% создаваемых ИИ путеводителей содержат ошибки, которые способны подвергнуть опасности людей, стремящихся отдохнуть от благ цивилизации.

RSS: Новости на портале Anti-Malware.ru