|
|
|
Пользователям WordPress рекомендуется обновиться до версии 4.6.1, в которой исправлены уязвимости и ошибки. По словам разработчиков WordPress, версия 4.6, а также более ранние имеют две уязвимости. Одна из них была обнаружена Домиником Шиллингом из команды безопасности WordPress. Вторую брешь обнаружил Хан Сахин (Han Sahin), соучредитель фирмы Securify.
Она несет в себе опасность выполнения межсайтового скриптинга (XSS) и существует из-за небезопасной обработки имен файлов-изображений. Злоумышленник может использовать эту уязвимость, вставив вредоносную составляющую в имя изображения. Если злоумышленник заставит администратора атакуемого сайта загрузить такое изображение через функционал загрузки медиа в WordPress, это позволит ему произвести вредоносные действия, такие как кража сессии и учетных данных. Эксперт отмечает, что для подготовки такого вредоносного изображения необходимо использование таких операционных систем как Linux и Mac OS X.
Потому что именно они обеспечивают расширенные возможности имен файлов. «В WordPress присутствует много функций безопасности» - говорит Сахин – «Я вижу проблему в большом количестве никем неконтролируемых плагинов. Неплохим вариантом было бы сделать фильтр этих плагинов в самом WordPress». Securify опубликовали сообщение, описывающее XSS-уязвимость.
Источник: https://www.anti-malware.ru/news/2016-09-09/20905
