Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Уязвимость в Ultimate Member угрожает тысячам WordPress-сайтов

Опасная уязвимость в WordPress-плагине Ultimate Member (более 200 тыс. активных установок) может использоваться для внедрения вредоносных скриптов. Брешь получила идентификатор CVE-2024-2123 и является по своей сути XSS.

О проблеме предупредили исследователи из команды Wordfence, отметив, что злонамеренные скрипты внедряются таким образом, чтобы запускаться при каждой загрузке веб-страницы.

Корень уязвимости кроется в некорректной обработке вводимых данных, а также в недостаточном экранировании вывода. Небезопасная имплементация функциональности списка каталога пользователей позволяет не прошедшим аутентификацию злоумышленникам проводить инъекцию скриптов.

Поскольку выводимое имя пользователя отображается в шаблонах файлов без экранирования, атакующих может при регистрации указать в поле для имени вредоносный сценарий.

Как правило, уязвимости такого класса используются для создания аккаунтов с правами администратора, перенаправления пользователей на фишинговые ресурсы и внедрения бэкдоров.

Проблема затрагивает Ultimate Member 2.8.3 и более ранние версии плагина. Пользователям рекомендуют установить релиз под номером 2.8.4.

Вчера мы писали про дыру в другом плагине — Popup Builder, которая помогла злоумышленникам заразить тысячи сайтов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Microsoft тестирует вывод рекламы в Word, Excel, PowerPoint

Microsoft выпустила версии приложений Word, Excel и PowerPoint, демонстрирующие пользователям рекламные баннеры. Несмотря на ограниченную функциональность софт позволяет редактировать документы.

Ранее техногигант из Редмонда уже позволял бесплатно пользоваться Word, Excel и PowerPoint в веб-версиях, однако о запуске десктопных приложений с рекламой в компании официально не сообщали.

Чем отличается этот софт: в правой области окна появляется вертикальная панель с рекламными объявлениями. Кроме того, под объявлениями размещается сообщение, призывающее подписаться на Microsoft 365, «чтобы убрать рекламу». Там же находится кнопка «Посмотреть преимущества».

Взглянуть на рекламный офисный пакет легко: надо загрузить Microsoft 365, затем при входе нажать «Пропустить», выбрать «Продолжить бесплатно» на экране приветствия и сохранить документы в OneDrive.

Как отмечает издание Beebom, добавить файлы на локальный диск без подписки Microsoft 365 невозможно. Помимо этого, в бесплатных версиях Word, Excel и PowerPoint доступна только базовая функциональность, а также действуют дополнительные ограничения.

 

Напомним, в прошлом году Microsoft начала тестировать вывод рекламы приложений в меню Пуск Windows 11.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru