WordPress-плагин AIOS писал в БД пароли в виде простого текста

WordPress-плагин AIOS писал в БД пароли в виде простого текста

WordPress-плагин AIOS писал в БД пароли в виде простого текста

Плагин для сайтов на WordPress под названием All-In-One Security (AIOS), установленный более чем на миллионе веб-ресурсов, логировал пароли в виде простого текста. Иронично, что предназначенный для дополнительной защиты сайтов плагин сам и же и создавал риски.

Судя по всему, простым текстом в базу данных писались пароли, которые пользователи вводили при попытке войти в аккаунт.

Сам плагин AIOS, разрабатываемый компанией Updraft, предлагает владельцам WordPress-сайтов функциональность WAF (web application firewall — файрвол уровня веб-приложения), защиту контента и логинов.

Авторы All-In-One Security обещают, что их разработка остановит вредоносных ботов и защитит ресурс от брутфорса.

Приблизительно три недели назад один из пользователей сообщил о странном поведении версии AIOS v5.1.9: плагин не только записывает попытки входа в учётные записи в таблицу aiowps_audit_log, но и фиксирует вводимые пароли. Юзер указывал на нарушение стандартов и законов, включая NIST 800-63 3, ISO 27000 и GDPR.

 

Представители Updraft в ответ на замечания объяснили, что это «известный баг» и пообещали предоставить фикс с выходом следующей версии. Своё обещание разработчики сдержали, так как 11 июля вышел релиз под номером 5.2.0, в котором проблема решена.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

ИИ-сервис Android Auto заохал при чтении вслух сообщений WhatsApp

В Android Auto объявился странный баг: при зачитывании входящих сообщений WhatsApp по просьбе водителя умный сервис начал от себя добавлять отчетливое «Oh». Причины пока неизвестны, все ждут реакции Google.

Судя по комментариям в новой ветке Reddit, Android Auto таким же образом дополняет послания в Google Messages, Teams и Facebook (в России признана экстремистской и запрещена).

Неожиданное поведение ИИ-помощника проявляется независимо от марки авто или смартфона. Характерное «оханье» уже недели две слышат владельцы Pixel, Samsung, OnePlus, Sony, Nothing.

Не исключено, что сглючил не сам Android Auto, а Google Ассистент, точнее, его движок речевого вывода. В настоящее время ничего с этим сделать нельзя, остается только игнорировать неуместное междометие.

Вероятно, Google все же обратит внимание на баг и в скором времени исправит ситуацию. Те, кто не хочет ждать, могут попробовать откатить Android Auto до предыдущей версии — вдруг это поможет?

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru