В Magento пропатчили XSS-уязвимость, получившую максимальный балл CVSS

В Magento пропатчили XSS-уязвимость, получившую максимальный балл CVSS

В Magento пропатчили XSS-уязвимость, получившую максимальный балл CVSS

Новая уязвимость в CMS-системе Magento грозит полной компрометацией коммерческой платформы. Степень опасности угрозы оценена в 10 баллов из 10 возможных по шкале CVSS; обновления с патчем Adobe уже выпустила.

Уязвимость CVE-2022-35698 классифицируется как межсайтовый скриптинг — возможность XSS-атаки, которая может привести к исполнению стороннего кода. Эксплойт не требует аутентификации или админ-прав и, по словам автора находки, тривиален.

Согласно бюллетеню Adobe, проблема актуальна для Magento Open Source 2.4.4-p1 и ниже, а также для сборок 2.4.5 и ниже. Патч включен в состав обновлений 2.4.4-p2 и 2.4.5-p1.

Эти же сборки исправляют еще одну ошибку — слабый контроль доступа (CVE-2022-35689), позволяющий обойти это препятствие. Данная уязвимость оценена как умеренно опасная.

Несмотря на предельно высокую опасность одной из новых проблем, заплаткам назначен приоритет 3 по системе ранжирования, принятой в Adobe. Это означает, что обновление можно устанавливать в сроки по своему усмотрению, так как продукт редко подвергается эксплойт-атакам — хакеры скорее отдадут предпочтение уязвимому CMS-плагину или теме.

Статистика показывает, что за последние три года количество интернет-магазинов, построенных на Magento, сократилась вдвое. По состоянию на 9 октября, в Сети активны около 165 тыс. таких сайтов, в том числе 1739 в России. При этом 97,5 тыс. используют версию 2 CMS.

У депутатов Госдумы начали блокировать аккаунты Apple

С блокировками аккаунтов Apple столкнулись как минимум три депутата Госдумы. По их словам, это связано с санкционной политикой США. Один из парламентариев получил блокировку при попытке оплатить подписку, другому уведомление пришло неожиданно.

О блокировке аккаунтов депутатов сообщили «Ведомости» со ссылкой на самих парламентариев.

Ранее единственным российским политиком, публично заявлявшим о такой блокировке, был Дмитрий Рогозин, ныне сенатор от Запорожской области. При этом, по его словам, техникой Apple он никогда не пользовался, а о блокировке узнал случайно, проверяя почту на почти заброшенном аккаунте.

Депутаты Роза Чемерис и Виталий Милонов, которые пользуются iPhone, утверждают, что Apple ID у них нет. Еще один депутат, как отмечает издание, смог оплатить подписку на один из сервисов на глазах у корреспондента.

Политолог Константин Калачев назвал использование депутатами смартфонов Apple проявлением двоемыслия. В то же время, по его словам, такая практика объяснима: iPhone — качественный продукт, а от привычек в целом сложно отказаться. Тем, кто столкнулся с блокировкой, он посоветовал перейти на альтернативные платформы.

Руководитель отдела разработки компании EvApps Дмитрий Ентин исключил возможность передачи данных российских депутатов операторами связи или продавцами устройств: это прямо запрещено российским законодательством. Он также допустил, что с блокировками могут столкнуться полные тезки подсанкционных лиц. При этом Ентин отметил, что ему не известны случаи реальных блокировок аккаунтов подсанкционных лиц.

Аналитик акселератора Fintech Lab Сергей Вильянов назвал блокировку аккаунтов нелогичным шагом: подобные меры, по его словам, не применялись даже в отношении представителей Ирана. Он подчеркнул, что поддержка оборудования и ПО — важное условие для спокойного возвращения на российский рынок. В качестве возможного решения Вильянов упомянул оформление аккаунтов на других людей или регистрацию в другой стране.

RSS: Новости на портале Anti-Malware.ru