В WordPress 6.0.2 устранили баг, угрожающий миллионам сайтов

В WordPress 6.0.2 устранили баг, угрожающий миллионам сайтов

В WordPress 6.0.2 устранили баг, угрожающий миллионам сайтов

На этой наделе разработчики системы управления контентом WordPress выпустили версию 6.0.2, в которой содержатся патчи для трех багов, включая опасную уязвимость, допускающую инъекцию SQL.

Проблема затрагивает функциональность WordPress Link и актуальна только для старых установок, поскольку на новых эти опции отключены по умолчанию. Тем не менее стоит учитывать, что уязвимые функции могут быть активированы на миллионах WordPress-сайтов, даже если администраторы установили более свежие версии движка.

Брешь получила 8 баллов по шкале CVSS. Однако ее достаточно сложно использовать для атаки, если злоумышленник имеет дело с конфигурацией по умолчанию. Несмотря на то что эксплуатация требует прав администратора, на целевом сайте могут быть установлены плагины или темы, позволяющие повысить привилегии.

«Уязвимые версии веб-ресурсов не могут корректно обработать аргумент “limit” в запросе на получение ссылки в функции “get_bookmarks“», — объясняют в команде Wordfence.

При дефолтной конфигурации движка только старенький виджет Links использует функцию таким небезопасным образом. Но благодаря защитным мерам эксплуатация уязвимости все равно заставит атакующего «попотеть».

Оставшиеся две бреши, устраненные в Wordpress 6.0.2, получили среднюю степень риска. Это проблемы межсайтового скриптинга (XSS), затрагивающие функцию “the_meta” и вызванные ошибками при деактивации и удалении плагинов.

Успешная эксплуатация этих багов может привести к выполнению JavaScript-кода. Всем администраторам сайтов на WordPress рекомендуется установить версию WordPress 6.0.2 как можно скорее.

Chrome защитил Android от 7 млрд мусорных уведомлений в сутки

Google заявила, что системы защиты Chrome в первом квартале 2026 года ежедневно блокировали на Android более 7 млрд нежелательных уведомлений. Через браузерные оповещения сайты всё чаще пытаются подсовывать пользователям фишинг, мошеннические платёжные запросы, зловреды и прочие цифровые радости, которых никто не заказывал.

Для борьбы с этим Google использует модель швейцарского сыра: несколько защитных слоёв перекрывают слабые места друг друга.

Если подозрительное уведомление проскочило через один фильтр, его должен поймать следующий.

Chrome может автоматически отзывать разрешения на отправку уведомлений у давно не посещаемых сайтов и ресурсов, которые регулярно вызывают предупреждения системы безопасности. Вместе с разрешением браузер способен отменить и подписку. При желании пользователь может вернуть доступ через раздел Safety Hub.

 

Защита оценивает не только отдельные сайты, но и связанные с ними сети, включая скоординированную активность сервис-воркеров. Chrome учитывает объём рассылки, частоту запросов разрешения, время пребывания пользователей на сайте и реальную вовлечённость.

Для ресурсов, признанных назойливыми, Google может ввести лимит в 1000 сообщений в минуту. Всё сверх нормы получит HTTP 429. Повторным нарушителям гайки закрутят ещё сильнее, а ограничения снимут только после периода приличного поведения.

На Android компания также сделала запросы разрешений менее навязчивыми. По словам Google, это сократило фоновую активность и расход аккумулятора.

Проверить, кому разрешено слать уведомления, можно в десктопном Chrome по пути «Настройки Конфиденциальность и безопасность Настройки сайтов Уведомления». На Android нужный раздел находится в меню «Настройки Уведомления».

RSS: Новости на портале Anti-Malware.ru