Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

По данным Wordfence, критическая уязвимость в плагине для создания форм уже используется в атаках. Зафиксирована попытка принудительно пропатчить Ninja Forms на всех затронутых сайтах. Админам WordPress рекомендуется удостовериться в успехе, в противном случае следует как можно скорее установить спасительное обновление вручную.

Согласно статистике в каталоге wordpress.org, в настоящее время Ninja Forms активно используют более 1 млн сайтов. Уязвимость, о которой идет речь, в Wordfence определили как возможность инъекции кода; CVE-идентификатор пока не присвоен, степень опасности оценена как критическая — в 9,8 балла по шкале CVSS.

Причиной появления уязвимости является некорректная реализация механизма Merge Tags. Эта функциональность позволяет автоматически подставлять в формы сохраненные данные — email-адрес зарегистрированного пользователя, ссылку на страницу сброса пароля или выхода из аккаунта.

По словам аналитиков, выявленный недочет в комбинации с другими возможностями позволяет удаленно и без аутентификации выполнить на сервере произвольный код или удалить важные файлы и в итоге захватить контроль над целевым сайтом. 

Уязвимости подвержены все прежние выпуски Ninja Forms версии 3. Заплатка включена в состав обновлений 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. 

Принудительная установка патчей для WordPress (независимо от настроек, выставленных админами) проводится в исключительных случаях — когда уязвимость очень опасна и носит массовый характер. Таким образом, к примеру, несколько раз латали плагин Jetpack, а в этом году — UpdraftPlus.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Более трети россиян готовы к аутентификации без паролей

Согласно совместному исследованию «Лаборатории Касперского», Почты Mail и Hi-Tech Mail, свыше трети россиян готовы отказаться от привычных паролей в пользу альтернативных способов авторизации, таких как биометрия или одноразовые коды.

В опросе приняли участие 1950 пользователей сервисов VK по всей стране.

Полностью перейти на беспарольные методы аутентификации готовы 16% респондентов, а еще 12% считают возможным использовать их для важных сервисов. При этом 9% опрошенных предпочитают быть осторожнее и готовы отказаться от паролей только при доступе к менее важным ресурсам.

Уже сегодня беспарольными методами пользуется 31% участников исследования, а еще 27% применяют их для защиты наиболее важных аккаунтов — в мессенджерах, электронной почте и онлайн-банкинге.

28% респондентов отмечают удобство и надежность беспарольных решений, однако 19% уверены, что лишь традиционные пароли способны обеспечить достаточную безопасность.

«Переход к беспарольной аутентификации не только значительно усиливает защиту аккаунтов, но и заметно улучшает пользовательский опыт. Людям больше не нужно запоминать множество сложных паролей, а риск их утечки из-за повторного использования на разных платформах существенно снижается. Мы также наблюдаем этот позитивный тренд в наших продуктах», — подчеркнул руководитель команды информационной безопасности Почты и Облака Mail Дмитрий Водяной.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru