WordPress-плагин AIOS писал в БД пароли в виде простого текста

WordPress-плагин AIOS писал в БД пароли в виде простого текста

WordPress-плагин AIOS писал в БД пароли в виде простого текста

Плагин для сайтов на WordPress под названием All-In-One Security (AIOS), установленный более чем на миллионе веб-ресурсов, логировал пароли в виде простого текста. Иронично, что предназначенный для дополнительной защиты сайтов плагин сам и же и создавал риски.

Судя по всему, простым текстом в базу данных писались пароли, которые пользователи вводили при попытке войти в аккаунт.

Сам плагин AIOS, разрабатываемый компанией Updraft, предлагает владельцам WordPress-сайтов функциональность WAF (web application firewall — файрвол уровня веб-приложения), защиту контента и логинов.

Авторы All-In-One Security обещают, что их разработка остановит вредоносных ботов и защитит ресурс от брутфорса.

Приблизительно три недели назад один из пользователей сообщил о странном поведении версии AIOS v5.1.9: плагин не только записывает попытки входа в учётные записи в таблицу aiowps_audit_log, но и фиксирует вводимые пароли. Юзер указывал на нарушение стандартов и законов, включая NIST 800-63 3, ISO 27000 и GDPR.

 

Представители Updraft в ответ на замечания объяснили, что это «известный баг» и пообещали предоставить фикс с выходом следующей версии. Своё обещание разработчики сдержали, так как 11 июля вышел релиз под номером 5.2.0, в котором проблема решена.

Фигурантам дела Флинта запросили сроки до 18 лет

Государственный обвинитель в ходе прений сторон по делу участников международной хакерской группировки из 26 человек запросил для обвиняемых наказание в виде лишения свободы на сроки от 6,5 до 18 лет. Руководителем группировки следствие считает Алексея Строганова, известного в хакерской среде под псевдонимом Флинт.

Судебный процесс по так называемому «делу Флинта» продолжается уже более двух лет. Материалы дела были переданы в 235-й гарнизонный военный суд Москвы в июне 2023 года. Рассмотрение проходит в закрытом режиме.

Фигуранты дела были задержаны сотрудниками ФСБ ещё в 2020 году. По версии следствия, они занимались торговлей реквизитами платёжных карт, полученными в результате атак на процессинговые компании, розничные сети, рестораны и гостиницы. Группировка действовала как минимум с 2014 года. Претензии к её участникам, по данным следствия, имеются и у правоохранительных органов других государств.

Как сообщили «Ведомости» со ссылкой на источники, гособвинение настаивает на реальных сроках лишения свободы для всех фигурантов — от 6,5 до 18 лет. Им вменяют кражу платёжных данных не только иностранных, но и российских граждан. При этом в начале судебного процесса защита утверждала, что пострадавших россиян по делу нет.

В 2024 году Алексей Строганов вместе с Тимом Стигалом (известным под псевдонимом Key) был объявлен в розыск американскими властями. Их обвиняют в хищении средств на сумму более 35 млн долларов. За информацию, способствующую задержанию Стигала, в США назначено вознаграждение в размере 1 млн долларов.

RSS: Новости на портале Anti-Malware.ru