Дыра 0-day в WordPress-плагине Ultimate Member: 200К сайтов под атакой

Дыра 0-day в WordPress-плагине Ultimate Member: 200К сайтов под атакой

Дыра 0-day в WordPress-плагине Ultimate Member: 200К сайтов под атакой

Критическая уязвимость CVE-2023-3460 в плагине Ultimate Member для WordPress позволяет добавить на сайт аккаунт с привилегиями администратора в обход средств защиты. Злоумышленники уже обнаружили эту возможность и взяли на вооружение.

Плагин Ultimate Member призван облегчить регистрацию и управление аккаунтами на сайте; он позволяет добавлять профили пользователя, назначать им роли, создавать кастомные поля в веб-формах, списки участников сообществ и т. п. В настоящее время на счету этого расширения WordPress более 200 тыс. активных установок.

Уязвимость CVE-2023-3460 (9,8 балла по шкале CVSS) относится к классу «повышение привилегий» и вызвана несовершенством защиты ключей метаданных от манипулирования. Дело в том, что с этой целью Ultimate Member использует блоклисты и сверяется с ними каждый раз, когда пользователь пытается зарегистрировать ключ при создании аккаунта.

Как выяснилось, этот механизм можно обойти, заставив плагин изменить значение wp_capabilities для нового пользователя. В ходе текущих атак злоумышленники создают аккаунты и посредством эксплойта меняют метаданные, чтобы зачислить себя в группу администраторов, получить полный доступ к WordPress-сайту и через админ-панель установить вредоносное расширение CMS.

Получив отчет об уязвимости под атакой, разработчики Ultimate Member несколько раз пытались закрыть ее, но полноценный патч удалось создать только с помощью экспертов WPScan. Пользователям всех версий плагина, включая 2.6.6, вышедшую 29 июня, настоятельно рекомендуется установить сборку 2.6.7, сбросить все пароли на сайте и поискать неизвестные аккаунты с ролью админа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Подросток поджег кинотеатр под влиянием угроз через онлайн-игры

Подросток, устроивший поджог в кинотеатре ТЦ «Авиапарк», действовал под влиянием угроз со стороны других участников онлайн-игр. Инцидент произошёл в четверг вечером: подросток пронёс в кинозал емкость с легковоспламеняющейся жидкостью и поджёг её. По данным прокуратуры, он «находился под влиянием неизвестных».

Об этом сообщила прокуратура Москвы. Как заявила официальный представитель МВД Ирина Волк, сотрудники полиции доставили подростка в ОМВД России по Хорошевскому району Москвы.

Она также уточнила место происшествия — кинотеатр в ТЦ «Авиапарк». По данным ведомств, никто не пострадал: возгорание быстро ликвидировали, повреждены лишь несколько кресел.

Однако, как пишут телеграм-каналы, пожарная сигнализация не сработала, оповещение не было подано, эвакуацию в торговом центре не проводили.

Как рассказал телеграм-каналу Baza отец подростка, на его действия могли повлиять угрозы, которые сын получал от участников онлайн-игр. По его словам, подросток проводил много времени в мессенджерах.

Накануне происшествия, по словам родителей, он ушёл из дома и долго не выходил на связь. Они обратились в правоохранительные органы. При этом, как утверждают родители, никаких тревожных признаков раньше не замечали.

В этом году злоумышленники резко активизировали атаки на российских детей и подростков. Их главные цели — кража средств у семей и вовлечение несовершеннолетних в преступные схемы: от использования в качестве дропов и аренды их аккаунтов в соцсетях и мессенджерах до участия в перевозке похищенных денег. Игровые чаты остаются одним из основных каналов общения преступников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru