Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Команда исследователей из Wordfence выявила уязвимость в плагине WordPress Download Manager, получившую идентификатор CVE-2021-34639. При определённых обстоятельствах эта брешь позволяет атакующим выполнить произвольный код.

В частности, благодаря существованию дыры пользователи сайта с правами авторов и другие участники могут использовать функцию «upload_files» для загрузки файлов с расширением php4. Другие типы потенциально опасных файлов также можно загрузить на уязвимую площадку.

«Незадолго до того, как мы обнаружили уязвимость, разработчики WordPress Download Manager выпустили патч, однако его состоятельность пока под вопросом, поскольку в случае использования двойного расширения брешь всё ещё можно использовать», — гласит отчёт специалистов.

«Например, потенциальный злоумышленник вполне может загрузить файл вида info.php.png, который будет играть роль исполняемого в определённых конфигурациях Apache/mod_php».

По шкале CVSS эта уязвимость получила 7,5 баллов, что приравнивается к высокому уровню опасности. На самом же деле, использовать его в реальной атаке достаточно сложно, поскольку придётся учитывать роль файла .htaccess.

Брешь затрагивает версии WordPress Download Manager до 3.1.24. По словам разработчиков, они устранили проблему ещё в мае. Помимо этого, девелоперы разобрались с дырой CVE-2021-34638 (6,5 баллов по CVSS), позволявшей юзерам с низкими правами получить доступ к файлу wp-config.php.

Подпишитесь на новости

С декабря за возврат билета на поезд будут брать до 10% стоимости

Купить билет на всякий случай, а потом сдать перед поездкой станет дороже. С 1 декабря 2026 года сбор за возврат билетов на поезда дальнего следования будут рассчитывать по прогрессивной шкале: чем ближе отправление, тем выше процент.

Об изменениях сообщила «Пассажирская компания Сахалин». Решение принято ФАС, максимальный сбор составит 10% стоимости билета.

Размер сбора будет зависеть от срока возврата:

  • за 45 суток и более до отправления — 1%;
  • за 30-44 суток — 3%;
  • за 10-29 суток — 5%;
  • за 9 суток и менее — 10%.

Например, для билета стоимостью 5000 рублей сбор составит от 50 до 500 рублей. Передумали в последнюю неделю — платите по верхней ставке.

В РЖД объясняют нововведение борьбой с бронированиями про запас: пассажиры занимают места, а затем возвращают билеты непосредственно перед отправлением. Новая шкала должна стимулировать определяться с планами заранее.

Важная деталь: правила распространятся только на билеты, купленные с 1 декабря 2026 года. Для приобретённых до 30 ноября включительно сохранят прежний порядок, даже если возвращать их придётся уже после вступления изменений в силу.

RSS: Новости на портале Anti-Malware.ru