SQLi-уязвимость WP Fastest Cache поставила под удар 600 тысяч сайтов

SQLi-уязвимость WP Fastest Cache поставила под удар 600 тысяч сайтов

В плагине WP Fastest Cache была выявлена уязвимость, позволяющая через SQL-инъекцию получить несанкционированный доступ на чтение к базе данных сайта. Патч вышел три дня назад в составе обновления 1.2.2.

В настоящее время этот WordPress-плагин активен на более чем 1 млн сайтов. Из них свыше 600 тыс., согласно статистике WordPress.org, пока используют уязвимые версии расширения.

Уязвимость, зарегистрированную под идентификатором CVE-2023-6063, обнаружила команда WPScan из компании Automattic. Проблема SQLi, по словам исследователей, возникла из-за некорректной реализации функции is_user_admin класса WpFastestCacheCreateCache.

Эта функция проверяет, является ли пользователь админом, извлекая значение $username из куки-файла. Как оказалось, переменная затем вносится в запрос без санации, что открывает возможность для SQL-инъекции.

Эксплойт не требует аутентификации и позволяет просмотреть содержимое базы данных WordPress, в которой обычно хранятся данные пользователей (IP-адреса, имейл, идентификаторы), пароли, настройки плагинов и тем, а также другая информация, необходимая для функционирования сайта.

Авторы находки оценили степень ее опасности в 8,6 балла CVSS и пообещали выложить PoC-код 27 ноября. Уязвимости подвержены все прежние выпуски WP Fastest Cache, пользователям рекомендуется как можно скорее обновить плагин до сборки 1.2.2.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Сбер полностью заменит зарубежные СУБД на объектах КИИ в срок

Сбер объявил о том, что до конца 2024 года полностью перейдет с зарубежных СУБД на использование собственной платформы Platform V Pangolin на значимых объектах критической информационной инфраструктуры.

Реляционная СУБД Platform V Pangolin является форком PostgreSQL. Platform V Pangolin содержит ряд важных доработок в сфере производительности, быстродействия, безопасности, доступности и надежности, что выводит решение в сегмент корпоративного класса.

С 2020 года Platform V Pangolin является целевой СУБД в Сбере. Platform V Pangolin входит в Реестр российского ПО и полностью подходит для задач импортозамещения. С 2021 года продукт доступен для внешнего рынка и используется в крупных российских компаниях.

«Продукты нашей платформы уже успешно заместили в Сбере многие решения западных вендоров, которые не только не уступают по функциональности, но и по ряду параметров превосходят их. Так, СУБД Platform V Pangolin полностью отвечает повышенным требованиям Сбера к производительности и безопасности. Решение гарантирует надежное хранение и быструю обработку больших объемов данных в высоконагруженных системах компании», —  отметил Кирилл Меньшов, старший вице-президент, руководитель блока «Технологии» Сбера.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru