В плагине WP Fastest Cache найдены уязвимости CSRF, XSS и SQLi

В плагине WP Fastest Cache найдены уязвимости CSRF, XSS и SQLi

В плагине WP Fastest Cache найдены уязвимости CSRF, XSS и SQLi

В ходе аудита популярного плагина WP Fastest Cache команда Jetpack из компании Automattic обнаружила две уязвимости — возможность SQL-инъекции и хранимую XSS в комбинации с CSRF. Патчи уже доступны в составе обновления 0.9.5.

Плагин кеширования WP Fastest Cache широко используется для ускорения и оптимизации работы WordPress-сайтов. В настоящее время на его счету числится более 1 млн активных установок.

Из найденных проблем, согласно описанию, наиболее критична возможность XSS-атаки через CSRF (CVE-2021-24869; 9,6 балла по CVSS). Эксплойт позволяет выполнить любое действие от имени совершившего вход админа, в том числе загрузить на сайт вредоносный JavaScript.

Причиной уязвимости в данном случае является некорректная верификация источника запроса при настройке опций, доступных в составе CDN-сети. Дело в том, что WP Fastest Cache в этом случае проверяет только права текущего пользователя, а функция wp_verify_nonce (проверка наличия нонс-параметра, подтверждающего намерения) отсутствует.

Возможность внедрения SQL-кода (CVE-2021-24869; 7,7 балла CVSS) позволяет получить доступ к закрытой информации в базе данных сайта, в том числе к логинам и паролям пользователей. Эксплойт, по словам исследователей, возможен только при включенном дефолтном редакторе страниц WordPress (плагине Classic Editor). 

Разработчика WP Fastest Cache уведомили о проблемах в конце прошлого месяца. Сборка с соответствующими исправлениями (0.9.5) вышла 11 октября, пользователям настоятельно рекомендуется ее установить.

Бывшему сотруднику Google грозит 15 лет за кражу секретов ИИ-разработок

Большое жюри суда Северной Каролины утвердило обвинительное заключение по делу 38-летнего Линь-Вэй Дина (Linwei Ding), открытому в связи с кражей у Google более 2000 документов, связанных с разработками в сфере ИИ.

По версии следствия, Дин, проработавший в Google программистом с 2019 года до конца 2023-го, решил создать свой стартап в КНР и даже встречался с потенциальными инвесторами, попросив сослуживца прикрыть свое отсутствие в офисе.

Чтобы не начинать с чистого листа, предприимчивый инженер стал выкачивать данные из сети работодателя — о суперкомпьютерном ЦОД, специально построенном для ИИ, о софте для его управления, ИИ-моделях, приложениях, кастомных чипах.

Исходники он скачивал в Apple Notes на рабочем MacBook, а затем конвертировал их в PDF и под своим Google-аккаунтом выгружал в облако, чтобы замести следы. За две недели до увольнения Дин скачал все украденные секреты на свой персональный компьютер.

Когда пропажу обнаружили, техногигант обратился в суд. Арест подозреваемого в связи с выдвинутыми обвинениями состоялся в марте 2024 года.

Позднее выяснилось, что тот также подал заявку на участие в программе правительства КНР, призванной обеспечить приток в страну специалистов по исследованиям и разработке. Этот факт позволял трактовать кражу секретов Google как промышленный шпионаж в пользу иностранного государства.

В США Дину инкриминируют семь эпизодов хищения коммерческой тайны и семь эпизодов экономического шпионажа. По первой статье ему грозит до 10 лет лишения свободы, по второй — до 15 лет.

RSS: Новости на портале Anti-Malware.ru