В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

В WordPress-плагине LiteSpeed Cache выявили уязвимость повышения прав

Ещё в одном WordPress-плагине нашли опасную уязвимость. На этот раз пострадал проект LiteSpeed Cache, а выявленная брешь позволяет не прошедшим аутентификацию пользователям повысить свои права.

Проблему отслеживают под идентификатором CVE-2023-40000. К счастью, в настоящее время готов патч (в версии 5.7.0.1).

«В сущности, это межсайтовый скриптинг (XSS), позволяющий любому неаутентифицированному пользователю повысить права на сайте с помощью одного HTTP-запроса», — объясняют исследователи из Patchstack.

Плагин LiteSpeed Cache используется для улучшения производительности веб-ресурса. В общей сумме его установили более пяти миллионов владельцев сайтов. Последняя на данный момент версия — 6.1 (выпущена 5 февраля 2024 года).

Причина появления CVE-2023-40000 кроется в недостаточной обработке пользовательского ввода, а именно — в функции update_cdn_status(). Эксплойт успешно работает на конфигурации по умолчанию.

Использовать баг в кибератаке может любой юзер, у которого есть доступ к wp-admin.

 

Напомним, буквально на днях стало известно о критической дыре в WordPress-плагине Ultimate Member, позволяющей провести SQL-инъекцию.

Мыши Logitech на macOS дали сбой из-за сертификата. Вот как это исправить

Если ваша мышь Logitech внезапно начала странно себя вести на macOS, вы такой не один, и причина у этой истории максимально неловкая для производителя. Проблема оказалась не в macOS, не в прошивке и не в самой мыши, а в просроченном сертификате Apple Developer у Logitech.

О проблеме первым рассказал пользователь Reddit, у которого MX Master 3S for Mac после почти двух лет безупречной работы вдруг «сломалась» на ровном месте: поменялось направление прокрутки, дополнительные кнопки перестали работать, а приложение Logi Options+ застряло в бесконечном цикле запуска.

Попытки «лечения» выглядели стандартно: перезагрузка компьютера, сброс мыши, переустановка приложения. Всё — безрезультатно. Причина вскрылась быстро: другой пользователь указал, что Logitech просто не продлила сертификат разработчика.

Из-за этого macOS перестала доверять приложению. В итоге:

  • Logi Options+ не запускается;
  • автоматическое обновление невозможно — по той же самой причине;
  • пользователь остаётся с дорогой мышью, работающей в «урезанном» режиме.

Надо отдать должное компании: Logitech не стала юлить и прямо признала ошибку.

«Мы здесь действительно облажались. Это непростительная ошибка. Приносим извинения за доставленные неудобства», — заявили в компании.

 

Проблему уже исправили, но обновляться придётся вручную. Logitech разослала пользователям электронные письма и опубликовала специальную страницу с инструкцией.

Что делать пользователям macOS

Для Logi Options+:

  1. Скачать обновлённый инсталлятор (ZIP).
  2. Дважды кликнуть по файлу.
  3. Установщик автоматически закроется, а Options+ запустится.
  4. Все устройства, настройки и кастомизации восстановятся.

Для Logitech G HUB:

  1. Скачать обновлённый инсталлятор (ZIP).
  2. Запустить файл.
  3. После сообщения «программное обеспечение уже установлено» просто закрыть установщик.

RSS: Новости на портале Anti-Malware.ru