Критический баг в WordPress-плагине Ultimate Member допускает SQL-инъекцию

Екатерина Быстрова 27 Февраля 2024 - 10:47

Домашние пользователи

...

В популяром WordPress-плагине Ultimate Member выявили критическую уязвимость, позволяющую неаутентифицированному атакующему провести SQL-инъекцию и вытащить конфиденциальные данные из базы.

У плагина Ultimate Member насчитывается более 200 тысяч установок. Обнаруженная уязвимость получила идентификатор CVE-2024-1071 и 9,8 балла по шкале CVSS.

Специалисты Wordfence пишут в отчёте следующее:

«Ultimate Member уязвим к SQL-инъекции через параметр “sorting“ в версиях с 2.1.3 по 2.8.2. Брешь существует из-за недостаточного экранирования параметра и некорректной подготовки существующего SQL-запроса».

Таким образом, не прошедший аутентификацию злоумышленник может добавить дополнительные запросы к уже существующим, что поможет ему извлечь конфиденциальные данные из базы.

Обратите внимание, что проблема затрагивает только те веб-сайты, администраторы которых включили опцию «Enable custom table for usermeta» в настройках плагина.

Разработчики Ultimate Member закрыли уязвимость в версии 2.8.3, которая вышла 19 февраля. Пользователям рекомендуют как можно скорее обновить плагин до актуального релиза.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 30 Октября 2025 - 14:33

Корпорации

РОСА Мессенджер расширил поддержку ОС и получил видео-конференц-связь

Разработчики продуктов российской компании «Роса» (АО «НТЦ ИТ РОСА») усовершенствовали одноименный мессенджер, и в ближайшее время им можно будет пользоваться на любой платформе через веб-интерфейс.

Изначально РОСА Мессенджер был совместим лишь с РОСА Мобайл и РОСА «ХРОМ» (обе на базе Linux) и доступен только со смартфонов Р-ФОН или с планшетов Р-ТАБ производства «Рутек».

В рамках обновления мессенджера разработчики изменили дизайн, расширили список поддерживаемых ОС, добавили возможность видео-конференц-связи за счет интеграции с коммуникационной платформой OMMG 3.0.

Все элементы решения — российской разработки, подчеркнул член совета директоров АО «НТЦ ИТ РОСА» и АО «Рутек» Сергей Кравцов, беседуя с журналистами.

Расширение доступности и функциональности «Роса», защищенного шифрованием и средствами идентификации пользователей, повышает его конкурентоспособность на российском рынке мессенджеров.

Недавний опрос, проведенный по итогам профильного эфира AM Live, показал: большинство экспертов по ИТ и ИБ считает, что отечественные мессенджеры для бизнеса смогут стать полноценной заменой зарубежным решениям.