WordPress-плагин WP-Members позволяет внедрить вредоносный скрипт

WordPress-плагин WP-Members позволяет внедрить вредоносный скрипт

WordPress-плагин WP-Members позволяет внедрить вредоносный скрипт

WordPress-плагин WP-Members Membership содержит уязвимость межсайтового скриптинга (XSS), позволяющую внедрять произвольные скрипты в веб-страницы. К счастью, разработчики уже подготовили патч.

Брешь отслеживается под идентификатором CVE-2024-1852 и существует из-за некорректной обработки входящих данных и недостаточного экранирования выходящих.

В результате условный атакующий может создать аккаунты, добавив вредоносный скрипт в качестве значения поля «IP-адрес».

Функциональность регистрации в WP-Members Membership злоумышленники могут использовать для отправки формы и последующего перехвата запроса на регистрацию через прокси-сервер.

Потом этот запрос атакующие меняют таким образом, чтобы он содержал заголовок X-Forwarded-For с вредоносной составляющей, которая включена в теги скрипта.

Если в запросе присутствует хедер X-Forwarded-For, плагин использует его значение для хранения IP-адреса любого пользователя, регистрирующегося через соответствующую форму.

«Из-за отсутствия обработки ввода и возможности манипулирования заголовками HTTP злоумышленник может подставить любое значение (включая вредоносный скрипт), которое будет сохранено в качестве IP-адреса», — пишут специалисты Wordfence.

В версии WP-Members Membership под номером 3.4.9.3 разработчики устранили CVE-2024-1852, а пользователям рекомендовали как можно скорее обновиться.

Android начал автоматически отправлять документы в Google Drive

Google наконец запустила резервное копирование документов с Android-смартфонов в облако. Функция, которую компания готовила почти год, распространяется в стабильной версии Google Play Services 26.26.

На смартфонах Pixel новый пункт «Документы» появляется в разделе «Настройки» → «Аккаунты и резервное копирование» → «Резервное копирование Google».

По умолчанию функция выключена, Google всё-таки не стала без спроса кормить Drive содержимым папки Downloads.

После активации документы автоматически загружаются в новую папку Android backups на Google Drive. Внутри создаётся отдельный каталог с названием смартфона. Поддерживаются PDF, DOC, PPT, XLS, ZIP и другие форматы. Под горячую руку попадают даже APK-файлы из папки загрузок.

 

 

За облачный комфорт придётся расплачиваться гигабайтами: копии занимают место в хранилище Google Drive. На странице настройки можно проверить остаток, освободить пространство или, разумеется, купить дополнительное.

Есть и важный нюанс. Отключение резервного копирования не удаляет уже загруженные файлы, поэтому чистить папку на Drive придётся вручную. Полноценной синхронизации тоже нет: если изменить документ на смартфоне, его облачная копия автоматически не обновится, и наоборот.

Первые следы функции обнаружили ещё в августе 2025 года, а в феврале 2026-го Google официально упомянула её в обновлении Play System. Затем копирование документов появилось в бета-версии Play Services, и только теперь добралось до стабильной сборки.

RSS: Новости на портале Anti-Malware.ru