SQLi-уязвимость WP Fastest Cache поставила под удар 600 тысяч сайтов

SQLi-уязвимость WP Fastest Cache поставила под удар 600 тысяч сайтов

SQLi-уязвимость WP Fastest Cache поставила под удар 600 тысяч сайтов

В плагине WP Fastest Cache была выявлена уязвимость, позволяющая через SQL-инъекцию получить несанкционированный доступ на чтение к базе данных сайта. Патч вышел три дня назад в составе обновления 1.2.2.

В настоящее время этот WordPress-плагин активен на более чем 1 млн сайтов. Из них свыше 600 тыс., согласно статистике WordPress.org, пока используют уязвимые версии расширения.

Уязвимость, зарегистрированную под идентификатором CVE-2023-6063, обнаружила команда WPScan из компании Automattic. Проблема SQLi, по словам исследователей, возникла из-за некорректной реализации функции is_user_admin класса WpFastestCacheCreateCache.

Эта функция проверяет, является ли пользователь админом, извлекая значение $username из куки-файла. Как оказалось, переменная затем вносится в запрос без санации, что открывает возможность для SQL-инъекции.

Эксплойт не требует аутентификации и позволяет просмотреть содержимое базы данных WordPress, в которой обычно хранятся данные пользователей (IP-адреса, имейл, идентификаторы), пароли, настройки плагинов и тем, а также другая информация, необходимая для функционирования сайта.

Авторы находки оценили степень ее опасности в 8,6 балла CVSS и пообещали выложить PoC-код 27 ноября. Уязвимости подвержены все прежние выпуски WP Fastest Cache, пользователям рекомендуется как можно скорее обновить плагин до сборки 1.2.2.

Роскомнадзор экономит ресурсы, замедляя Telegram

Мощностей технических средств противодействия угрозам (ТСПУ), которые Роскомнадзор использует для ограничения доступа к ресурсам, по мнению экспертов, оказалось недостаточно для одновременного воздействия на несколько крупных платформ. В результате ведомству приходится применять альтернативные технические методы.

Как считают эксперты, опрошенные РБК, именно этим может объясняться исчезновение домена YouTube из DNS-серверов Роскомнадзора, о котором накануне сообщил телеграм-канал «Эксплойт».

Управляющий директор инфраструктурного интегратора «Ультиматек» Джемали Авалишвили в комментарии РБК связал ситуацию с началом замедления Telegram:

«Фактически подконтрольные Роскомнадзору DNS-серверы перестали возвращать корректные адреса для домена youtube.com, что привело к невозможности подключения пользователей. Такой метод — часть технического арсенала Роскомнадзора для ограничения доступа к “неугодным” ресурсам. Он не нов и применяется в России наряду с блокировкой IP-адресов и пакетной фильтрацией».

Независимый эксперт телеком-рынка Алексей Учакин пояснил, что подобный подход может использоваться для экономии ресурсов, которых недостаточно для одновременного замедления двух крупных платформ:

«Поскольку все провайдеры обязаны использовать национальную систему доменных имен, то есть DNS-серверы под контролем Роскомнадзора, фактически появляется грубый, но достаточно надежный “выключатель” YouTube на территории России. При этом даже такая мера не перекрывает все способы обхода блокировок».

Замедление Telegram в России началось 10 февраля — об этом сначала сообщили СМИ со ссылкой на источники, а затем информацию официально подтвердил Роскомнадзор. Однако жалобы пользователей на снижение скорости работы мессенджера появились еще 9 февраля.

RSS: Новости на портале Anti-Malware.ru