В ядре WordPress нашли риск утечки данных и XSS — патча пока нет

В ядре WordPress нашли риск утечки данных и XSS — патча пока нет

В ядре WordPress нашли риск утечки данных и XSS — патча пока нет

В ядре WordPress обнаружили сразу две уязвимости, которые затрагивают все версии до 6.8.2 включительно. Причём детали обеих дыр случайно попали в публичный доступ раньше времени — их раскрыл сторонний исследователь, а уже потом информация была подтверждена командой безопасности WordPress.

Что известно:

  • CVE-2025-58246 (4,3 балла по CVSS). Утечка информации. Эксплуатировать её могут пользователи с ролью Contributor и выше. Потенциально через баг можно вытянуть конфигурационные или пользовательские данные. Массовой угрозы он не несёт, но в многопользовательских установках риски есть.
  • CVE-2025-58674 (6,4 балла по CVSS). XSS. Ошибка в очистке входных данных позволяет авторам (Author+) внедрять JavaScript прямо на страницы. Дальше — классика: угон сессий, кража учётки, редиректы на фишинговые сайты.

Обе уязвимости пока не закрыты, патч в работе. WordPress подчёркивает, что риск для владельцев сайтов на данный момент оценивается как низкий, но меры предосторожности всё же стоит принять.

Что советуют эксперты:

  • минимизировать доступ к ролям Contributor/Author;
  • следить за активностью пользователей этих ролей;
  • использовать плагины для логирования и защиты от XSS;
  • быть готовыми обновиться сразу, как выйдет патч.

Так что пока ситуация не критичная, но администраторам сайтов лучше держать руку на пульсе и не раздавать права лишним людям.

Собери свой Telegram: энтузиасты выкатили открытый сервер Opengram

У Telegram появился неожиданный конкурент. Точнее не конкурент, а возможность собрать собственный Telegram у себя дома или в корпоративном дата-центре. Группа энтузиастов представила проект Opengram — открытую реализацию серверной части популярного мессенджера.

Opengram позволяет развернуть собственный сервер, совместимый с официальными клиентами Telegram.

После замены адреса дата-центра и RSA-ключа пользователи смогут подключаться к нему через привычные приложения Telegram для десктопа и смартфонов.

Проект написан на C# и .NET 9 и опубликован на GitHub. В его основе лежит форк более раннего проекта mytelegram. При этом разработчики пока не указали лицензию для своего репозитория, что уже вызвало вопросы в сообществе. Дело в том, что оригинальный mytelegram распространяется по лицензии Apache 2.0, которая требует сохранять текст лицензии в производных работах.

По функциональности Opengram выглядит амбициозно. Разработчики заявляют поддержку личных сообщений, групп, супергрупп и каналов, секретных чатов со сквозным шифрованием, голосовых и видеозвонков, ботов, двухфакторной аутентификации, историй, реакций, стикеров и кастомных эмодзи.

Не забыли даже про относительно новые функции Telegram вроде звёзд (Stars), цифровых подарков Star Gifts и самоудаляющихся сообщений.

Под капотом проект напоминает полноценную корпоративную платформу. Архитектура состоит из набора микросервисов: отдельных компонентов для авторизации, хранения сессий, обработки сообщений, работы ботов, звонков и файлового хранилища. Для инфраструктуры используются MongoDB, Redis, RabbitMQ и MinIO, а запуск всей системы организован через Docker Compose.

По сути, Opengram пытается решить задачу, которую многие считали невозможной: создать независимую серверную реализацию Telegram, сохранив совместимость с официальными клиентами.

Впрочем, до полноценной альтернативы облачной инфраструктуре Telegram проекту ещё далеко. Разработчикам предстоит решить вопросы масштабирования, безопасности и лицензирования. Но сам факт появления открытого сервера с поддержкой современных возможностей Telegram уже выглядит любопытным событием для сообщества разработчиков и энтузиастов открытого софта.

RSS: Новости на портале Anti-Malware.ru