Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

Патч для WordPress-плагина Ninja Forms автоматом спущен на 1 млн сайтов

По данным Wordfence, критическая уязвимость в плагине для создания форм уже используется в атаках. Зафиксирована попытка принудительно пропатчить Ninja Forms на всех затронутых сайтах. Админам WordPress рекомендуется удостовериться в успехе, в противном случае следует как можно скорее установить спасительное обновление вручную.

Согласно статистике в каталоге wordpress.org, в настоящее время Ninja Forms активно используют более 1 млн сайтов. Уязвимость, о которой идет речь, в Wordfence определили как возможность инъекции кода; CVE-идентификатор пока не присвоен, степень опасности оценена как критическая — в 9,8 балла по шкале CVSS.

Причиной появления уязвимости является некорректная реализация механизма Merge Tags. Эта функциональность позволяет автоматически подставлять в формы сохраненные данные — email-адрес зарегистрированного пользователя, ссылку на страницу сброса пароля или выхода из аккаунта.

По словам аналитиков, выявленный недочет в комбинации с другими возможностями позволяет удаленно и без аутентификации выполнить на сервере произвольный код или удалить важные файлы и в итоге захватить контроль над целевым сайтом. 

Уязвимости подвержены все прежние выпуски Ninja Forms версии 3. Заплатка включена в состав обновлений 3.0.34.2, 3.1.10, 3.2.28, 3.3.21.4, 3.4.34.2, 3.5.8.4 и 3.6.11. 

Принудительная установка патчей для WordPress (независимо от настроек, выставленных админами) проводится в исключительных случаях — когда уязвимость очень опасна и носит массовый характер. Таким образом, к примеру, несколько раз латали плагин Jetpack, а в этом году — UpdraftPlus.

Пенсионеры смогут подтверждать право на скидки в магазинах через MAX

Процедура получения льгот, вводимых российским ретейлом для людей преклонного возраста, скоро упростится. Таким покупателям достаточно будет зайти в MAX и предъявить на кассе QR-код, сгенерированный на основе цифрового ID.

Сервис подтверждения статуса пенсионера через MAX уже запущен в пилотном режиме компанией X5.

В настоящее время нововведение доступно лишь москвичам — посетителям ряда «Перекрестков» и «Пятерочек», освоившим самообслуживание. В следующем месяце планируется распространить его на все торговые точки этих сетей.

«Каждый месяц в наши магазины приходят около 20 млн покупателей пенсионного возраста, — отметил Александр Костин, управляющий директор Х5 Tech. — Мы последовательно развиваем цифровые сервисы, которые делают покупки для клиентов любого возраста быстрее и удобнее, а процессы в магазинах — более эффективными».

Воспользоваться новой функцией несложно. На кассе самообслуживания нужно отсканировать товар, открыть раздел «Скидки пенсионерам и другие», выбрать из списка «Скидка пенсионерам» и поднести к считывателю смартфон с QR-кодом в профиле MAX (в мессенджере на такие случаи предусмотрена опция «Показать ID»).

Возможность использования MAX для подтверждения возраста в России закреплена законом. Создаваемый в мессенджере цифровой ID разрешено применять с этой целью наравне с бумажными документами, и ретейлеры уже начали осваивать это новшество при продаже товаров 18+.

RSS: Новости на портале Anti-Malware.ru