Баг в WordPress-плагине Forminator позволяет заливать любые файлы на сервер

Баг в WordPress-плагине Forminator позволяет заливать любые файлы на сервер

Баг в WordPress-плагине Forminator позволяет заливать любые файлы на сервер

WordPress-плагин Forminator, установленный более чем на 500 000 сайтов, содержит уязвимость, с помощью которой злоумышленники могут без ограничений загружать файлы на сервер.

Forminator, разрабатываемый WPMU DEV, предоставляет функциональность билдера форм для контактов, обратной связи, опросов, платежей и т. п. Forminator удобен реализацией функции «перетаскивания» (Drag-and-drop) и возможностью интеграции со сторонним софтом.

Однако недавно в WordPress-плагине нашли уязвимость, получившую идентификатор CVE-2024-28890. В случае эксплуатации брешь позволяет удалённому атакующему загрузить вредоносные файлы на сервер. По шкале CVSS проблеме присвоили 9,8 балла.

«Условный удалённый злоумышленник может получить доступ к конфиденциальной информации на сервере, изменить внешний вид сайта и даже вызвать DoS», — сказано в уведомлении на площадке JVN.

Помимо CVE-2024-28890 (затрагивает версию Forminator 1.29.0), корень которой кроется в недостаточной валидации файлов в процессе загрузки, специалисты выделили ещё две уязвимости:

  • CVE-2024-31077 — возможность SQL-инъекции, позволяющая злоумышленникам с правами администратора выполнять SQL-запросы к базе данных (затрагивает Forminator 1.29.3 и более ранние версии плагина).
  • CVE-2024-31857 — межсайтовый скриптинг, позволяющий выполнить HTML или скрипт в браузере посетителя уязвимого ресурса (затрагивает Forminator 1.15.4 и более старые версии).

Разработчики выпустили версию плагина 1.29.3, которую стоит незамедлительно установить всем администраторам сайтов с Forminator.

Подпишитесь на новости

VPN и исчезающие сообщения стали аргументами в пользу ареста

Привычные инструменты обеспечения конфиденциальности получили неожиданную трактовку. По словам члена СПЧ Евы Меркачевой, следствие стало ссылаться на VPN, шифрование трафика и исчезающие сообщения как на меры конспирации, обосновывая необходимость заключения подозреваемых под стражу.

О таких случаях Меркачева рассказала в авторской статье для «Московского комсомольца», сославшись на судебные постановления в распоряжении правозащитников.

В описанной ею логике следствия средства анонимизации, сквозное шифрование, автоудаление сообщений и сокрытие контактов могут указывать на возможность воспрепятствовать расследованию или воздействовать на пока не установленных лиц.

Один из приведённых примеров касается московского врача-терапевта, которого заподозрили в оправдании терроризма из-за публикации четырёхлетней давности. По данным Меркачевой, при избрании ареста суд сослался в том числе на эти доводы следствия.

Однако важно отметить, что в этом случае речь не об аресте исключительно за установленный VPN или включённое автоудаление переписки. Правозащитница описывает использование таких функций как дополнительных аргументов при выборе меры пресечения по уголовному делу.

Число постановлений и подробности всех случаев в статье не приведены.

RSS: Новости на портале Anti-Malware.ru