Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Опасная уязвимость в WordPress-плагине Ultimate Member (более 200 тыс. активных установок) может использоваться для внедрения вредоносных скриптов. Брешь получила идентификатор CVE-2024-2123 и является по своей сути XSS.

О проблеме предупредили исследователи из команды Wordfence, отметив, что злонамеренные скрипты внедряются таким образом, чтобы запускаться при каждой загрузке веб-страницы.

Корень уязвимости кроется в некорректной обработке вводимых данных, а также в недостаточном экранировании вывода. Небезопасная имплементация функциональности списка каталога пользователей позволяет не прошедшим аутентификацию злоумышленникам проводить инъекцию скриптов.

Поскольку выводимое имя пользователя отображается в шаблонах файлов без экранирования, атакующих может при регистрации указать в поле для имени вредоносный сценарий.

Как правило, уязвимости такого класса используются для создания аккаунтов с правами администратора, перенаправления пользователей на фишинговые ресурсы и внедрения бэкдоров.

Проблема затрагивает Ultimate Member 2.8.3 и более ранние версии плагина. Пользователям рекомендуют установить релиз под номером 2.8.4.

Вчера мы писали про дыру в другом плагине — Popup Builder, которая помогла злоумышленникам заразить тысячи сайтов.

У россиян перестала работать оплата Apple ID со счёта мобильного телефона

С 1 апреля у российских пользователей iPhone перестала работать оплата Apple ID со счёта мобильного телефона. Мы в редакции не смогли провести платёж через МТС и «Билайн», а при попытке оплаты появляется сообщение: «Мобильный платеж временно недоступен. Повторите попытку позже».

Параллельно такая возможность исчезла и из приложений «МегаФона» и T2, где пополнение Apple ID раньше было доступно через партнёрские схемы.

То есть фактически этот способ оплаты перестал работать у всей «большой четвёрки».

 

 

История, судя по всему, не стала сюрпризом для операторов. Ещё 30 марта РБК сообщал со ссылкой на источники на телеком-рынке, что на совещании с главой Минцифры Максутом Шадаевым 28 марта операторам дали указание отключить пополнение Apple ID с мобильного счёта с 1 апреля.

Среди причин называлась в том числе необходимость затруднить оплату VPN-сервисов.

На этом фоне неслучайно, что ещё за день до отключения МТС и «Билайн» начали рекомендовать клиентам заранее пополнить баланс кошелька Apple. Кроме того, Telegram, который тоже обещали полностью заблокировать 1 апреля, также рекомендовал заранее оплатить Premium-аккаунт.

RSS: Новости на портале Anti-Malware.ru