XSS-уязвимости в Joomla грозят RCE миллионам сайтов (патч уже доступен)

XSS-уязвимости в Joomla грозят RCE миллионам сайтов (патч уже доступен)

XSS-уязвимости в Joomla грозят RCE миллионам сайтов (патч уже доступен)

В CMS-системе Joomla выявлены возможности межсайтового скриптинга, позволяющие удаленно выполнить на сайте сторонний код. Обновления с патчем уже вышли, пользователям рекомендуется их установить.

Виновником появления проблемы, зарегистрированной как CVE-2024-21726, является компонент ядра, отвечающий за фильтрацию контента. Неадекватная очистка позволяет через XSS внедрять на сайты скрипты, которые будут воровать данные посетителей, награждать их зловредами, выполнять редирект.

По словам авторов находки — экспертов швейцарской SonarSource, эксплойт в данном случае можно провести, убедив админа совершить переход по вредоносной ссылке. Команда Joomla оценила степень угрозы как умеренную.

Уязвимости подвержены сборки CMS с 3.7.0 по 3.10.14-elts, с 4.0.0 по 4.4.2, а также все прежние выпуски в ветке 5.0. Патч включен в состав апдейтов 3.10.15-elts, 4.4.3 и 5.0.3.

В настоящее время Joomla используют 1,7% сайтов в интернете. Доля невелика, однако в при общей численности свыше 2 млрд это миллионы площадок, потенциально уязвимых к скриптовым инъекциям.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Инструмент для взлома GrayKey работает с iPhone 16, но не с iOS 18

Слитые на днях документы показали, что GrayKey, инструмент для взлома iPhone, может получить доступ и к последней модели смартфона — iPhone 16. Однако только в том случае, если он работает на не бета-версии iOS 18.

Graykey можно назвать прямым конкурентом Cellebrite. Последняя программа, например, недавно помогла взломать смартфон стрелка, ранившего Дональда Трампа.

Разработчики GrayKey и Cellebrite скупают информацию об уязвимостях нулевого дня, которые Apple ещё не успела пропатчить. Интересно, что обе компании регулярно публикуют таблицу с актуальным списком девайсов, которые можно взломать.

Изданию 404Media удалось получить часть внутренних документов Graykey, согласно которым софт может взломать всю линейку iPhone 11, а также частично модели с iPhone 12 по iPhone 16 включительно.

Таким образом, можно сделать вывод, что последние существенные аппаратные меры безопасности Apple реализовала именно в iPhone 12. Тем не менее, поскольку подробности не раскрываются, остаётся лишь гадать, что значит «частичный взлом».

Это может быть обычный доступ к незашифрованному содержимому хранилища и метаданным зашифрованного контента. Однако GrayKey не может ничего противопоставить любой из бета-версий iOS 18, о чём говорит сама таблица.

Отметим также новую функцию безопасности в iOS 18 — автоматический перезапуск iPhone, который недавно добавил головной боли полиции.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru