SQLi в плагине WooCommerce актуальна для пяти миллионов WordPress-сайтов

SQLi в плагине WooCommerce актуальна для пяти миллионов WordPress-сайтов

SQLi в плагине WooCommerce актуальна для пяти миллионов WordPress-сайтов

В популярном ecommerce-плагине для WordPress устранена возможность кражи данных из баз интернет-магазинов посредством SQL-инъекции. Злоумышленники уже пытаются использовать проблему WooCommerce в атаках; пользователям настоятельно рекомендуется применить обновление.

Новая уязвимость пока не получила CVE-идентификатор; степень ее опасности оценена в 8,2 балла по шкале CVSS. Подробности пока не разглашаются; известно лишь, что возможность внедрения SQL-кода возникла из-за некорректной реализации механизма вебхука.

Эксплойт не требует аутентификации, так как санация данных, вводимых пользователем, тоже несовершенна. В результате атаки злоумышленник сможет получить любую информацию из базы данных коммерческой организации, от клиентских ПДн и платежных реквизитов до логинов и паролей персонала.

Уязвимости подвержены все прежние выпуски WooCommerce веток с 3.3 по 5.5; согласно внутренней статистике, на счету этого плагина свыше 5 млн активных установок. Угроза SQLi актуальна также для смежного расширения WooCommerce Blocks, позволяющего отображать товары на страницах сайта с фильтрацией по категориям. Этот плагин в настоящее время работает более чем на 200 тыс. сайтов.

Патчи вышли для всех затронутых веток WooCommerce и WooCommerce Blocks и уже начали раздаваться в автоматическом режиме. После обновления пользователям советуют совершить апгрейд и установить новейшую сборку — 5.5.1, а также сменить пароли. Медлить при этом не стоит: уже зафиксированы попытки использовать новую брешь в атаках.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Госдума утвердила создание перечня значимых разработчиков ПО

Госдума 22 июля приняла в окончательном чтении законопроект, предусматривающий создание перечня значимых разработчиков программного обеспечения. Документ был одобрен сразу во втором и третьем чтениях как часть поправок ко второму чтению закона, направленного на обеспечение доступности сайтов госорганов для незрячих пользователей.

Согласно данному закону, для включения в перечень разработчик должен соответствовать ряду требований.

Речь идёт о российской коммерческой организации, находящейся под контролем Российской Федерации, субъекта РФ, муниципалитета или гражданина РФ.

Кроме того, значимыми признаются только те разработчики, которые заключили соглашение с правительством РФ о разработке или модернизации программного обеспечения и баз данных за счёт собственных средств в целях импортозамещения для реализации особо значимых проектов. При этом правительство вправе устанавливать дополнительные критерии для включения в перечень.

Вести перечень значимых разработчиков будет Минцифры, которому также поручено определить порядок его формирования и актуализации.

Закон также наделяет Минцифры полномочиями по ведению реестра программного обеспечения, разработанного российскими компаниями для собственных нужд, а также реестра доверенных российских программ и баз данных.

Как отметил глава комитета Госдумы по информполитике Сергей Боярский, в этот перечень будут включаться «программные продукты с исключительно 100% российским участием, которые соответствуют наиболее высоким требованиям безопасности».

Кроме того, принятый закон передаёт полномочия по ведению реестра российского ПО от Минцифры специально создаваемой некоммерческой организации. Учредителем этой структуры должно выступить само Минцифры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru