29% критических дыр в WordPress-плагинах не получают патчей

29% критических дыр в WordPress-плагинах не получают патчей

29% критических дыр в WordPress-плагинах не получают патчей

Компания Patchstack, занимающаяся анализом безопасности сайтов на WordPress, опубликовала отчёт, в котором описывается ситуация с патчингом опасных уязвимостей в плагинах для этого движка. Специалисты считают, что дела с заплатками идут не очень хорошо, учитывая популярность этой CMS.

В частности, в 2021-м исследователи наблюдали 150-процентный рост числа выявленных уязвимостей в сравнении с 2020 годом. При этом 29% критических брешей в WordPress-плагинах вообще не получают патчей.

Стоит учитывать, что на этой системе управления контентом работают сегодня 43,2% веб-сайтов. От общего количества обнаруженных дыр только 0,58% пришлись на ядро WordPress, а всё остальное досталось темам и плагинам от различных разработчиков.

91% брешей затрагивают именно бесплатные плагины, а платным проектам достались 8,6% багов. По данным Patchstack, в 2021 году отметились пять критических уязвимостей в 55 темах для WordPress. Наиболее опасная брешь позволяла использовать функции загрузки файлов.

 

Что касается плагинов, исследователи сообщили о 35 критических дырах, две из которых затрагивают четыре миллиона веб-сайтов. Интересно, что девять таких плагинов вообще никогда не получали патчи от разработчиков, за что их удаляли с официальной площадки.

 

Согласно отчёту Patchstack, в 2021 году по распространённости лидировали уязвимости класса «межсайтовый скриптинг» (XSS), а за ними шли CSRF (межсайтовая подделка запроса), SQL-инъекция и загрузка произвольного файла.

Telegram уличили в бездействии вокруг китайского крипторынка на $21 млрд

Telegram снова критикуют за то, что платформа продолжает обслуживать Xinbi Guarantee — крупный китайскоязычный теневой рынок, через который, по данным исследователей, проходят услуги по отмыванию денег для криптомошенников, а также другие криминальные сервисы.

WIRED пишет, что за всё время существования площадка уже провела операций примерно на $21 млрд, а после санкций Великобритании в конце марта её активность не только не остановилась, но и продолжилась почти в прежнем темпе.

Всего за 19 дней после введения санкций через Xinbi прошло ещё около $505 млн, а общее число пользователей почти дотянуло до полумиллиона. Telegram за это время, судя по всему, не предпринял шагов для удаления всей этой инфраструктуры.

Сама площадка давно фигурирует в расследованиях как один из ключевых узлов криминальной экосистемы в Telegram. Ещё раньше Elliptic оценивала её оборот примерно в $8,4 млрд, а более свежие оценки TRM Labs поднимают общий объём уже до $24,2 млрд. Разброс в цифрах объясняется разной методикой подсчёта, но общий вывод у исследователей один: речь идёт о действительно гигантском рынке, связанном с мошенничеством и отмыванием денег.

Сам Telegram публично почти не комментирует ситуацию. По данным WIRED, на новые запросы издания компания не ответила. При этом в прошлом Telegram уже объяснял своё нежелание вводить «общие запреты» тем, что часть пользователей якобы ищет альтернативные способы международных переводов на фоне жёстких финансовых ограничений в Китае.

RSS: Новости на портале Anti-Malware.ru