Տարածված նվիրատվությունների փլագինում PHP օբյեկտի ներարկումը թույլ էր տալիս կոդ կատարել և ֆայլեր ջնջել առանց մուտքի։ Ինչ անել կայքերի սեփականատերերին։
Հրապարակվել է՝ 2024 թ. օգոստոսի 20
GiveWP-ն WordPress-ի տարածված փլագին է առցանց նվիրատվությունների և դրամահավաքի համար։ Ձևի դաշտերից մեկի մշակման սխալը թույլ էր տալիս հարձակվողին առանց մուտքի ներարկել PHP օբյեկտ և, օգտագործելով փլագինում արդեն առկա կոդը, հրամաններ կատարել սերվերում կամ ջնջել ֆայլեր։
| CVE | Վտանգավորություն | Խոցելի տարբերակներ | Ուղղված է |
|---|---|---|---|
CVE-2024-5932 | Կրիտիկական, CVSS 9.8–10.0 (PHP օբյեկտի ներարկում, կոդի հեռակա կատարում) | GiveWP մինչև 3.14.1 | 3.14.2 և ավելի նոր |
Անանուն այցելուներից տվյալներ ընդունող ձևերը՝ նվիրատվություններ, պատվերներ, գրանցումներ, առաջին տեղն են, ուր նայում են հարձակվողները։ Դրանց հետևում գտնվող փլագինները թարմացրեք հատկապես ուշադիր։
Աղբյուրներ՝ NVD CVE-2024-5932.
Օգնության կարիք ունե՞ք։ Կապվեք CySec-ի հետ՝ անվճար խորհրդատվության համար։
Էքսփլոյթների նոր շղթան root իրավունքներ է տալիս տեղային N-central սերվերներում, հարձակումները սկսվեցին հրապարակումից մի քանի ժամ անց։ Լիարժեք ուղղում դեռ չկա․ շտապ ստուգումներ։
Կարդալ հոդվածըOutlook-ի շահագործվող խոցելիությունը հատուկ ֆայլի միջոցով փոխանցում է NTLM հեշը։ Այս ամիս Microsoft-ը ուղղել է ավելի քան 1000 խոցելիություն․ ահա առաջնահերթությունները։
Կարդալ հոդվածըGoogle-ը ուղղեց Chrome-ում արդեն շահագործվող use-after-free խոցելիությունը։ Ուղղումն աշխատում է միայն բրաուզերի վերագործարկումից հետո․ ինչպես համոզվել, որ յուրաքանչյուր համակարգիչ պաշտպանված է։
Կարդալ հոդվածըՄեր ինժեներները կուսումնասիրեն ձեր ներկայիս համակարգը և կառաջարկեն կոնկրետ բարելավումներ։
