Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

По данным Wordfence, критическая уязвимость в плагине для создания форм уже используется в атаках. Зафиксирована попытка принудительно пропатчить Ninja Forms на всех затронутых сайтах. Админам WordPress рекомендуется удостовериться в успехе, в противном случае следует как можно скорее установить спасительное обновление вручную.

Согласно статистике в каталоге wordpress.org, в настоящее время Ninja Forms активно используют более 1 млн сайтов. Уязвимость, о которой идет речь, в Wordfence определили как возможность инъекции кода; CVE-идентификатор пока не присвоен, степень опасности оценена как критическая — в 9,8 балла по шкале CVSS.

Причиной появления уязвимости является некорректная реализация механизма Merge Tags. Эта функциональность позволяет автоматически подставлять в формы сохраненные данные — email-адрес зарегистрированного пользователя, ссылку на страницу сброса пароля или выхода из аккаунта.

По словам аналитиков, выявленный недочет в комбинации с другими возможностями позволяет удаленно и без аутентификации выполнить на сервере произвольный код или удалить важные файлы и в итоге захватить контроль над целевым сайтом. 

Уязвимости подвержены все прежние выпуски Ninja Forms версии 3. Заплатка включена в состав обновлений 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. 

Принудительная установка патчей для WordPress (независимо от настроек, выставленных админами) проводится в исключительных случаях — когда уязвимость очень опасна и носит массовый характер. Таким образом, к примеру, несколько раз латали плагин Jetpack, а в этом году — UpdraftPlus.

Яндекс подтвердил сбой после жалоб на Музыку, Еду, Лавку и Диск

Во вторник пользователи столкнулись с проблемами сразу в нескольких сервисах «Яндекса». Жалобы поступали на работу «Яндекс Музыки», «Кинопоиска», «Диска», «Еды», «Лавки», «Яндекс Книг», почты, поисковой системы и устройств умного дома с «Алисой».

Первые сообщения о неполадках начали появляться около 13:15 по московскому времени.

По данным сервиса Detector404, за короткое время было зафиксировано более 3,5 тысячи обращений от пользователей. Больше всего жалоб поступило из Москвы и Московской области, Санкт-Петербурга, Самарской и Новосибирской областей.

 

В самой компании подтвердили наличие проблемы.

«У ряда пользователей возникают временные трудности с доступом к некоторым сервисам. Наши специалисты работают над устранением сложностей», — сообщили в пресс-службе «Яндекса».

Пока компания не раскрывает причины произошедшего и не уточняет, связаны ли неполадки с внутренней инфраструктурой или внешними факторами.

На момент публикации специалисты продолжали восстанавливать работу сервисов. По данным Detector404, позже доступность сервисов начала восстанавливаться, однако у части пользователей проблемы могли сохраняться еще некоторое время.

RSS: Новости на портале Anti-Malware.ru