Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Две бреши в плагине WordPress Download Manager Plugin угрожают веб-сайтам

Команда исследователей из Wordfence выявила уязвимость в плагине WordPress Download Manager, получившую идентификатор CVE-2021-34639. При определённых обстоятельствах эта брешь позволяет атакующим выполнить произвольный код.

В частности, благодаря существованию дыры пользователи сайта с правами авторов и другие участники могут использовать функцию «upload_files» для загрузки файлов с расширением php4. Другие типы потенциально опасных файлов также можно загрузить на уязвимую площадку.

«Незадолго до того, как мы обнаружили уязвимость, разработчики WordPress Download Manager выпустили патч, однако его состоятельность пока под вопросом, поскольку в случае использования двойного расширения брешь всё ещё можно использовать», — гласит отчёт специалистов.

«Например, потенциальный злоумышленник вполне может загрузить файл вида info.php.png, который будет играть роль исполняемого в определённых конфигурациях Apache/mod_php».

По шкале CVSS эта уязвимость получила 7,5 баллов, что приравнивается к высокому уровню опасности. На самом же деле, использовать его в реальной атаке достаточно сложно, поскольку придётся учитывать роль файла .htaccess.

Брешь затрагивает версии WordPress Download Manager до 3.1.24. По словам разработчиков, они устранили проблему ещё в мае. Помимо этого, девелоперы разобрались с дырой CVE-2021-34638 (6,5 баллов по CVSS), позволявшей юзерам с низкими правами получить доступ к файлу wp-config.php.

Подпишитесь на новости

Пользователи Claude из России и Гонконга сообщили о блокировках

VPN подключён, Claude месяцами работает, а потом приходит письмо о прекращении доступа. Пользователи из России и Гонконга сообщают о блокировках аккаунтов, с которых заходили в сервис через VPN. В уведомлениях команда безопасности Anthropic ссылается на подозрительные сигналы и нарушение правил использования.

О жалобах в Гонконге пишет South China Morning Post. Компания предлагает подать апелляцию, но, судя по жалобам в соцсетях, пересмотр помогает не всем: некоторые получают ответ, что решение окончательное.

Один из жителей Гонконга рассказал, что пользовался Claude через NordVPN около полугода, прежде чем аккаунт заблокировали. Другие пользователи описывают похожий сценарий: длительная работа без проблем, затем внезапная приостановка доступа.

О блокировке также сообщил в Telegram руководитель подразделения транзакционного ИИ Яндекса Роман Маресов. Он опубликовал письмо Anthropic и написал, что теперь придётся вернуться с Claude Code к Codex.


Россия и Гонконг отсутствуют в официальном списке поддерживаемых регионов Anthropic. Компания прямо предупреждает: нарушение региональной политики может привести к приостановке или полному прекращению доступа.

При этом отдельного ужесточения правил для VPN Anthropic публично не объявляла. Поэтому утверждать, что компания запрещает любой VPN, оснований нет. Но месяцы успешного подключения, как показывают жалобы, от блокировки аккаунта не страхуют.

RSS: Новости на портале Anti-Malware.ru