В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В плагине Facebook for WordPress пропатчена критическая RCE-уязвимость

В расширении Facebook for WordPress (ранее Official Facebook Pixel) устранили две опасные уязвимости. Одна из них позволяет внедрить на сайт вредоносный PHP-код и удаленно запустить его на исполнение. Пользователям рекомендуется обновить продукт до новейшей версии — 3.0.5.

Плагин Facebook for WordPress встраивает в страницы фрагмент кода Facebook Pixel, способный мониторить трафик, регистрировать действия пользователей (просмотр контента, добавление товаров в корзину, оформление заказа), оптимизировать рекламу и создавать аудитории для рекламных кампаний. В настоящее время на счету этого продукта числится более 500 тыс. активных установок.

В конце декабря исследователи из Wordfence / Defiant обнаружили в Facebook for WordPress критическую уязвимость, связанную с ошибкой десериализации, которая возникает при выполнении функции run_action(). Авторы находки классифицировали ее как возможность инъекции PHP-объекта с оценкой 9 баллов по шкале CVSS.

Наличие данной уязвимости позволяет, минуя аутентификацию, загружать на сайт произвольные файлы и выполнить, таким образом, вредоносный код. Проблема актуальна для Facebook for WordPress версий 2.2.2 и ниже; разработчик ее устранил в начале января, выпустив сборку 3.0.0 плагина.

Вторая брешь, найденная 27 января, чуть менее опасна (8,8 балла). Она представляет собой возможность межсайтовой подделки запросов (CSRF), грозящей XSS-атакой. По свидетельству Wordfence, эта уязвимость была привнесена при выпуске версии 3 плагина. Готовя ребрендинг, разработчики переписали большую часть кода и расширили функциональность, добавив использование AJAX при сохранении изменений в настройках Facebook for WordPress.

Это было сделано с целью улучшить интеграцию плагина, однако новая реализация проверки разрешений при переходе в панель управления Facebook Pixel оказалась небезупречной. В итоге открылась возможность подменить настройки, указав на свою консоль, и украсть метрические данные сайта. Чтобы получить такой результат, злоумышленнику придется обманом заставить админа после авторизации выполнить нужное действие — например, совершить переход по ссылке.

Более того, поскольку санации настроек при их сохранении не производится, автор атаки может внести в значения вредоносный JavaScript, и он будет выполнен в браузере админа при заходе на страницу настроек. С помощью этого скрипта можно будет внедрить бэкдор в файлы тем или создать новый аккаунт администратора, чтобы захватить контроль над сайтом.

Уязвимости CSRF / XSS подвержены версии плагина с 3.0.0 по 3.0.3. Разработчик устранил ее в прошлом месяце в два приема; полный патч содержит сборка 3.0.4 (и, разумеется, 3.0.5 — новейшая на данный момент).

Оператор Т2 запустил автоматический мониторинг утечек данных пользователей

Мобильный оператор T2 запустил услугу мониторинга утечек персональных данных абонентов. Новый сервис разработан совместно с ГК «Солар». О его запуске ранее сообщил президент «Ростелекома» Михаил Осеевский, выступая на SOC Forum 2025.

Тогда он отметил, что такой сервис поможет пользователям лучше понимать, с какими цифровыми угрозами они могут столкнуться.

О начале работы услуги сообщило агентство Telecom Daily. Система мониторинга, разработанная ГК «Солар», в круглосуточном режиме проверяет номера телефонов абонентов T2 на предмет попадания в базы утечек. При обнаружении инцидента пользователь автоматически получает пуш-уведомление.

Если утечка выявлена в период с 9:00 до 22:00, уведомление дополнительно отправляется в виде СМС-сообщения.

Кроме того, при подтверждении факта компрометации данных абонент может запросить детализацию утечки — с указанием того, какая именно информация оказалась раскрыта. Это позволяет оперативно принять меры, например сменить пароли или усилить защиту от нежелательных звонков и почтового спама.

Сервис стал частью программы SafeWall. Подключить услугу можно в личном кабинете на официальном сайте оператора или в мобильном приложении. Абонентская плата составляет 100 рублей в месяц.

«Новая услуга стала очередным шагом в стремлении привить нашим абонентам навыки цифровой гигиены. Она позволяет оперативно выявлять инциденты утечки данных и минимизировать их последствия. Благодаря своевременным уведомлениям клиенты получают возможность быстро реагировать и принимать необходимые меры для защиты своей информации», — прокомментировал директор по продукту и клиентскому опыту T2 Андрей Борзов.

RSS: Новости на портале Anti-Malware.ru