Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Опасная уязвимость в WordPress-плагине Ultimate Member (более 200 тыс. активных установок) может использоваться для внедрения вредоносных скриптов. Брешь получила идентификатор CVE-2024-2123 и является по своей сути XSS.

О проблеме предупредили исследователи из команды Wordfence, отметив, что злонамеренные скрипты внедряются таким образом, чтобы запускаться при каждой загрузке веб-страницы.

Корень уязвимости кроется в некорректной обработке вводимых данных, а также в недостаточном экранировании вывода. Небезопасная имплементация функциональности списка каталога пользователей позволяет не прошедшим аутентификацию злоумышленникам проводить инъекцию скриптов.

Поскольку выводимое имя пользователя отображается в шаблонах файлов без экранирования, атакующих может при регистрации указать в поле для имени вредоносный сценарий.

Как правило, уязвимости такого класса используются для создания аккаунтов с правами администратора, перенаправления пользователей на фишинговые ресурсы и внедрения бэкдоров.

Проблема затрагивает Ultimate Member 2.8.3 и более ранние версии плагина. Пользователям рекомендуют установить релиз под номером 2.8.4.

Вчера мы писали про дыру в другом плагине — Popup Builder, которая помогла злоумышленникам заразить тысячи сайтов.

Winslop: появился инструмент, вычищающий ИИ и рекламу из Windows 11

Похоже, Microsoft не собирается сбавлять темп с внедрением ИИ в Windows 11 — нравится это пользователям или нет. Copilot уже готовится поселиться в «Проводнике», ИИ всё активнее проникает в системные функции и настройки, а местами это действительно идёт на пользу, например в вопросах доступности.

Но вместе с полезными улучшениями Windows 11 продолжает обрастать спорными и откровенно раздражающими элементами.

Если вам всё это надоело, хорошие новости всё же есть. Для Windows 11 появился новый инструмент с говорящим названием Winslop, который помогает, выражаясь прямо, «вычистить ИИ-шлак» из системы.

Winslop — это свежий проект от разработчика, стоящего за FlyOOBE, популярной утилитой для кастомизации Windows 11. В основе Winslop лежит недавно выпущенный скрипт Remove Windows AI, но на этом автор не остановился и превратил его в полноценное нативное приложение с расширенной функциональностью.

Winslop умеет не только отключать и удалять ИИ-функции, но и настраивать поведение системы, приложения, политики и параметры по умолчанию. В будущем разработчик обещает новые возможности и направления настройки.

Интерфейс Winslop нельзя назвать эталоном современного дизайна, но по части практической пользы он более чем убедителен. В списке доступных опций:

  • отключение ИИ-функций и Copilot;
  • настройки приватности;
  • реклама и «рекомендации» Windows;
  • параметры Microsoft Edge;
  • игровые и системные твики.

 

При этом есть и важная кнопка отката изменений, если вдруг понадобится вернуть систему в исходное состояние.

Скачать Winslop можно бесплатно — проект доступен на GitHub.

Сам факт появления таких утилит говорит о многом. Пользователям Windows 11 всё чаще приходится прибегать к сторонним инструментам, чтобы просто сделать систему менее навязчивой.

Microsoft, кстати, тоже идёт навстречу юзерам. Например, в свежей Beta/Dev-сборке Windows 11 (26200.7535) корпорация добавила новую групповую политику, которая наконец-то позволяет полностью удалить приложение Copilot. Правда, с довольно строгими оговорками.

RSS: Новости на портале Anti-Malware.ru