Создан PoC для дыры в W3 Total Cache, под угрозой 1 млн WordPress-сайтов

Создан PoC для дыры в W3 Total Cache, под угрозой 1 млн WordPress-сайтов

Создан PoC для дыры в W3 Total Cache, под угрозой 1 млн WordPress-сайтов

Специалисты по пентесту из германской компании RCE Security выложили в паблик PoC-эксплойт к недавно пропатченной критической уязвимости в W3 Total Cache. Администраторам сайтов рекомендуется как можно скорее обновить WordPress-плагин.

Проблема, зарегистрированная как CVE-2025-9501, позволяет без аутентификации выполнить вредоносный код в системе через инъекцию PHP-команд и перехватить контроль над сайтом. В настоящее время в интернете активны более 1 млн экземпляров W3 Total Cache.

Согласно бюллетеню WPScan, данная уязвимость возникла из-за некорректной реализации функции _parse_dynamic_mfunc, обеспечивающей выполнение кода, включенного в комментарии на кешированных страницах.

Эксплойт возможен лишь при определенных условиях. Тем не менее степень опасности уязвимости была оценена в 9 баллов по шкале CVSS — как критическая.

По словам авторов PoC-кода, для успешной атаки на целевом сайте должны отсутствовать ограничения на публикацию комментариев.

 

Авторам атаки также потребуется значение константы W3TC_DYNAMIC_SECURITY из файла wp-config.php. Дефолтное mycode или легко угадываемая комбинация значительно облегчат задачу злоумышленникам.

Наконец, в W3 Total Cache должно быть включено кеширование страниц, по умолчанию деактивированное.

 

Необходимые для эксплойта условия значительно сокращают вероятность атаки, однако в случае успеха злоумышленники смогут захватить контроль над сайтом и украсть конфиденциальные данные, установить бэкдор либо совершить иные вредоносные действия.

Спасительный патч был включен в состав сборки 2.8.13 (текущая версия плагина — 2.8.14). В качестве временной защиты эксперты советуют отключить кеширование страниц, ограничить возможность комментированная, оставив эту привилегию лишь авторизованным юзерам, а также удостовериться в надежности W3TC_DYNAMIC_SECURITY.

В уходящем году российские ИБ-эксперты зафиксировали рост числа атак на WordPress-сайты через подмену содержимого автоматически загружаемых плагинов (must-use). Подобный трюк позволяет злоумышленникам перенаправлять посетителей сайтов на другие ресурсы, устанавливать бэкдоры и внедрять вредоносный JavaScript-код, отрабатывающий в браузере.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Польский регулятор обвинил Apple в сборе данных при запрете на отслеживание

Польский антимонопольный регулятор обвинил Apple в том, что корпорация якобы вводит пользователей в заблуждение относительно уровня конфиденциальности, который предоставляет функция App Tracking Transparency (ATT). По мнению ведомства, Apple может использовать пользовательские данные даже тогда, когда человек запретил отслеживание.

Как пишет Reuters, Apple с обвинениями не согласна и заявляет, что давление регуляторов может вынудить её вовсе отключить эту функцию для пользователей в ЕС.

Это уже не первый конфликт компании с европейскими правилами. ЕС требует, чтобы Apple обеспечивала равные условия для сторонних разработчиков: если у Apple есть доступ к определённым данным, то и конкуренты должны иметь возможность получать аналогичную информацию.

Apple, в свою очередь, утверждает, что доступ к данным у неё организован так, чтобы приватность пользователей соблюдалась максимально, и она не может гарантировать, что сторонние компании будут действовать так же.

Последний пример — ситуация с Apple Watch. Часы могли получать историю Wi-Fi подключений с привязанного iPhone, но другие производители — нет. Вместо того чтобы раскрыть эти данные, Apple отключила функцию в моделях для ЕС.

Претензии к App Tracking Transparency

ATT требует, чтобы приложения спрашивали разрешение на отслеживание пользователя. Если человек говорит «нет», разработчики не могут использовать рекламный идентификатор устройства.

Польский регулятор полагает, что Apple якобы продолжает собирать данные для показа таргетированной рекламы в своих сервисах, например в App Store, независимо от согласия пользователя.

Глава UOKiK Томаш Хростный заявил, что политика ATT «могла ввести пользователей в заблуждение относительно уровня защиты персональных данных и одновременно дала Apple конкурентное преимущество».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru