Неправильная проверка доступа в веб-сервисах Joomla 4 позволяла любому прочитать конфигурацию сайта — включая учётные данные базы данных.
Публично раскрыта: 16 февраля 2023
В феврале 2023 года Joomla исправила ошибку проверки доступа в веб-сервисах (API) Joomla 4. Без входа злоумышленник мог запросить закрытые данные, включая конфигурацию сайта с пользователем и паролем базы данных. Оценка была лишь «средней», но атакующие быстро начали её использовать, а позже CISA включило её в список эксплуатируемых.
| CVE | Опасность | Уязвимые версии | Исправлено в |
|---|---|---|---|
CVE-2023-23752 | Средняя, CVSS 5.3 (неправильная проверка доступа, раскрытие информации) | Joomla 4.0.0 – 4.2.7 | 4.2.8 и новее |
Урок: оценка опасности не говорит всего. Если утёкший пароль подходит к базе данных или используется где-то ещё, «средняя» уязвимость превращается в полный взлом. После обновления смените пароль базы данных и все повторно используемые пароли.
Источники: Joomla security announcement, NVD CVE-2023-23752.
Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.
Новая цепочка эксплойтов даёт root на локальных серверах N-central; атаки начались через несколько часов после публикации. Полного исправления пока нет — срочные проверки.
Читать статьюЭксплуатируемая уязвимость Outlook передаёт хеш NTLM через специальный файл. В этом месяце Microsoft исправила более 1000 уязвимостей — вот приоритеты.
Читать статьюGoogle исправила уже эксплуатируемую уязвимость use-after-free в Chrome. Исправление работает только после перезапуска браузера — как убедиться, что защищён каждый ПК.
Читать статьюНаши инженеры проанализируют вашу текущую инфраструктуру и предложат конкретные улучшения.
