Баг в плагине WooCommerce ставит под угрозу онлайн-магазины на WordPress

Баг в плагине WooCommerce ставит под угрозу онлайн-магазины на WordPress

Баг в плагине WooCommerce ставит под угрозу онлайн-магазины на WordPress

Критическая уязвимость угрожает сайтам электронной коммерции, работающим на движке WordPress и использующим плагин WooCommerce. WooCommerce является одним из самых популярных плагинов для электронной коммерции — количество его пользователей насчитывает более 4 миллионов.

Уязвимость позволяет удалять произвольные файлы, злоумышленник может использовать ее для получения контроля над онлайн-магазином. Брешь обнаружил исследователь RIPS Technologies GmbH Симон Скэннелл.

«Проблема заключается в способе обработки привилегий движком WordPress, она может привести к эскалации прав. Брешь затрагивает популярный плагин WooCommerce», — говорится в опубликованном RIPSTECH отчете.

«Благодаря этой дыре менеджеры онлайн-магазинов могут удалять произвольные файлы на сервере, а затем получить контроль над аккаунтом администратора».

Эксперт опубликовал видео, доказывающее наличие этой проблемы.

К счастью, уязвимость была исправлена с выходом версии плагина 3.4.6.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники пытаются красть деньги и данные самокатчиков

Эксперты ГК «Кросс технолоджис» выявили новую мошенническую схему, нацеленную на пользователей сервисов проката средств индивидуальной мобильности (СИМ). Злоумышленники под видом авторизации на таких платформах похищают персональные данные и платежные реквизиты.

Специалисты сервиса Smart Business Alert (SBA) зафиксировали рост фишинговых рассылок в мессенджерах, связанных с открытием сезона проката СИМ. Мошенники представляются официальными сервисами аренды и предлагают пользователям пройти повторную авторизацию для продолжения использования услуг.

Для этого жертве предлагают:

  • Перейти по ссылке на фальшивую страницу авторизации;
  • Войти через Telegram, указав логин и пароль;
  • Подтвердить данные банковской карты.

На самом деле данные передаются мошенникам, которые могут использовать их для кражи средств и личной информации. Кроме того, злоумышленники распространяют вредоносное ПО, маскируя его под обновленные версии мобильных приложений сервисов проката.

Основными жертвами атак становятся сотрудники ИТ-компаний среднего возраста, однако, по оценкам аналитиков, под угрозой находится любой пользователь прокатных сервисов. В 2024 году их число превысило 21 миллион человек, что делает этот сегмент особенно привлекательным для мошенников.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru