Дыра в WordPress-плагине угрожала выполнением кода миллиону сайтов

Дыра в WordPress-плагине угрожала выполнением кода миллиону сайтов

Дыра в WordPress-плагине угрожала выполнением кода миллиону сайтов

В популярном плагине для сайтов на WordPress, предназначенном для интеграции маркетинговой платформы OptinMonster, нашли уязвимость. Эта брешь позволяет киберпреступникам внедрить вредоносный код. Согласно статистике установок, под угрозой находятся более одного миллиона веб-ресурсов.

На проблему в безопасности указали специалисты компании Wordfence, занимающейся разработкой файрволов для WordPress-сайтов. Исследователи описывают дыру следующим образом:

«Эта уязвимость позволяет атакующему в обход аутентификации экспортировать конфиденциальную информацию, а также добавить вредоносный код JavaScript на взломанный сайт. Фактически подобную атаку может провести любой посетитель уязвимого ресурса».

В опубликованном Wordfence отчёте специалисты винят в наличие уязвимости непрофессиональный подход к написанию кода. Например, разработчики оставили многие API открытыми для команд, что позволяет атакующему получить ключ API OptinMonster.

Команда Wordfence сообщила о бреши авторам плагина в конце сентября. К счастью, в этом месяце вышел соответствующий патч — OptinMonster 2.6.5. Перед публикацией информации о дыре исследователи подождали три недели, чтобы у владельцев сайтов была возможность установить патч.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры предлагает предоставлять отсрочки ИТ-специалистам без дипломов

Минцифры предложило расширить перечень ИТ-специалистов, имеющих право на отсрочку от призыва в армию. Нововведения касаются тех, кто окончил обучение, но на момент формирования списков ещё не получил диплом о высшем образовании.

Соответствующий проект опубликован на Портале проектов нормативных актов. К уже действующим критериям планируется добавить два новых:

  • Право на отсрочку получат сотрудники аккредитованных ИТ-компаний, завершившие обучение, но не имеющие диплома на момент формирования списков Минцифры (например, если выпуск состоялся в январе, а диплом будет выдан в феврале). В этом случае документ необходимо будет предоставить в призывную комиссию отдельно;
  • В перечень ИТ-специальностей для получения отсрочки предложено включить дополнительные направления: магистратуру по специальностям «Радиофизика» и «Статистика», бакалавриат по направлению «Ядерная физика и технологии» и ряд других.

«Изменения помогут молодым специалистам без перерыва строить карьеру в ИТ, а также позволят сохранить квалифицированные кадры в отрасли. При этом новые правила не создадут дополнительной нагрузки для бизнеса», — отметили в Минцифры.

Если поправки будут приняты, они вступят в силу с 2026 года и не затронут осенний призыв 2025 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru