Дыра в All-in-One WP Migration грозит утечкой с Google.Диска и Dropbox

Дыра в All-in-One WP Migration грозит утечкой с Google.Диска и Dropbox

Дыра в All-in-One WP Migration грозит утечкой с Google.Диска и Dropbox

В WordPress-плагине, облегчающем смену хостинга сайтов, найдена уязвимость, позволяющая получить несанкционированный доступ к конфиденциальной информации. Проблема затрагивает расширения для Box, Google.Диск, OneDrive и Dropbox; патчи уже доступны.

Плагин All-in-One WP Migration разработки ServMask в настоящее время насчитывает более 5 млн активных установок. Софт имеет премиум-расширения для переноса базы данных сайта, медиафайлов, плагинов и тем на платформы таких облачных провайдеров, как Google, Microsoft или Amazon.

Уязвимости, выявленной исследователем из Patchstack, подвержены лишь четыре подобных модификации плагина, бесплатную версию она не затрагивает. Эксплойт CVE-2023-40004 не требует аутентификации и позволяет изменить или удалить токен доступа для получения критически важных данных сайта, сведений о пользователях, проприетарной информации.

По словам автора находки, причиной появления уязвимости стало отсутствие ограничений на выполнение функции init, привязанной к WordPress-хуку admin_init. Степень угрозы смягчает тот факт, что All-in-One WP Migration используется лишь при переносе сайта, в остальное время он неактивен.

Патчи для всех затронутых продуктов были выпущены в конце июля. Пользователям популярного WordPress-плагина рекомендуется установить следующие обновления:

  • Box Extension v1.54,
  • Google Drive Extension v2.80,
  • OneDrive Extension v1.67,
  • Dropbox Extension v3.76.

Бесплатный All-in-One WP Migration лучше тоже обновить до версии 7.78.

Корзина Windows показывает не те имена файлов после июньского обновления

Очередной Patch Tuesday от Microsoft принёс пользователям Windows новый сюрприз. После установки июньского обновления под номером KB5094126 некоторые владельцы компьютеров заметили странное поведение Корзины. Проблема проявляется при окончательном удалении файлов.

Обычно Windows показывает предупреждение с именем файла, который пользователь собирается стереть навсегда. Теперь же вместо привычного названия система может отображать какой-то внутренний служебный идентификатор.

Выглядит это так, будто Windows внезапно забыла, какой именно файл собирается удалить.

В Microsoft уже подтвердили наличие ошибки. Хорошая новость заключается в том, что речь идёт исключительно о визуальном сбое. Сам файл никуда не исчезает раньше времени, не повреждается и не переименовывается.

Если открыть Корзину, правильное название документа или изображения по-прежнему отображается в списке файлов. Более того, при восстановлении объект возвращается под своим оригинальным именем. То есть проблема затрагивает только окно подтверждения удаления.

Под удар попали практически все актуальные версии Windows, получившие июньские обновления безопасности. Точный список Microsoft пока не публикует, но признаёт, что ошибка носит массовый характер.

Особенно раздражает то, что никакого официального обходного пути для обычных пользователей сейчас нет. Единственный совет — проверять название файла непосредственно в Корзине перед окончательным удалением.

В компании уже работают над фиксом, однако сроки выхода патча пока не называются. Неясно, появится ли он в следующем пакете обновлений или Microsoft выпустит внеплановое исправление раньше.

RSS: Новости на портале Anti-Malware.ru