Уязвимость в плагине Wordpress Spreadsheet 0.6
Уязвимость позволяет удаленному пользователю выполнить произвольные SQL команды в базе данных приложения. Уязвимость существует из-за недостаточной обработки входных данных в параметре «ss_id» сценарием ss_load.php. Удаленный пользователь может с помощью специально сформированного запроса выполнить произвольные SQL команды в базе данных приложения.
Эксплоит:
http://site.com/wp-content/plugins/wpSS/ss_load.php?ss_id=1+and+ (1=0)+union+select+1,concat(user_login,0×3a,user_pass,0×3a,user_email), 3,4+from+wp_users–&display=plain
Уязвимости в плагинах wp-people, Simple Forum, WP Photo Album, Search Unleashed, Sniplets
Очередная порция уязвимостей в нескольких плагинах WordPress. Если Вы используете какие-то из этих плагинов, рекомендую отключить их, до выхода новых версий плагинов с исправлениями уязвимостей.
WP People <= 1.6 уязвимость SQL иньекция. Параметр person некорректно фильтруется. Это может быть использовано для нарушения работы базы данных WordPress блога.
Simple Forum < 2.1 (Build 237) Параметры Forum и Topic недостаточно фильтруются, это может быть использовано для нарушения работы базы данных WordPress блога.
WP Photo Album < 1.1 Параметры photo и album недостаточно фильтруются, это может быть использовано для нарушения работы базы данных WordPress блога.
Эта уязвимость исправлена в версии 1.1.
Search Unleased <= 0.2.0 уязвим к HTML иньекции. Уязвимость подтверждена в версии 0.2.0 и будет исправлена в следующей версии 0.2.1. В данный момент уязвимость может быть использована для нарушения работы вашего блога, поэтому необходимо отключить плагин до выхода следующей версии.
Sniplets 1.1.2 (и возможно другие версии) несколько уязвимостей включая HTML иньекцию, загрузку файлов и выполнение PHP кода. Если вы используете этот плагин, срочно отключите его до выхода исправлений.
Уязвимость плагина WP-Photo-Album
Найдена уязвимость в плагине WP-Photo-Album, позволяющая злоумышленнику, делать удаленные запросы к MySQL базе данных блога.
Рекомендуется отключить плагин, до выхода исправлений.
Обновлен плагин wp-no-version
Плагин предназначен для осложнения идентификации версии WordPress которая установлена на вашем блоге.
В последнем релизе, плагин не убирает отображение версии WordPress для зарегистрированных пользователей. Это было сделано, для поддержки функции автоматической проверки обновлений WordPress.
Скачать свежую версию плагина можно здесь.
Работоспособность плагина, проверена на WordPress 2.3.3.
Не сохраняйте пароли в ФТП программах.
Если вы самостоятельно работаете с файлами вашего блога, наверняка для удобства вы используете FTP протокол, и какую-нибудь программу для работы с ним, например Total Commander или другие программы для работы с FTP.
Как правило такие программы, опять же для удобства, дают возможность пользователю сохранить пароль, на доступ к серверу, что бы не вводить его при каждом подключении. Безусловно это ОЧЕНЬ удобно и для вас и для того, кто сможет получить доступ к этой программе.
А получают его как правило зловредные вирусы, от которых застрахованы разве что Линуксоиды и Apple-ры. Я уже дважды встречался со случаями, когда пароли к ФТП серверу были украдены с помощью вируса, и в файлы блога были внесены изменения, для использования блога как инструмента заражения. Как правило все это выглядит довольно незаметно, поэтому вы можете и не знать о том, что ваш блог пытается подсадить вашим посетителям вирус.
Неприятного в этом как видите много, страдают посетители, они могут перестать ходить на ваш блог вообще, а со временем, тот же Google запишет вас в список опасных сайтов и тогда можете забыть про посещаемость.
Несколько советов, касательно паролей для ФТП:
- Не сохраняйте пароли в программах для работы с ФТП
- Периодически изменяйте пароли на доступ к серверу
- Периодически изменяйте пароли на доступ к панели администрирования вашего блога
- Для удобства используйте одну из программ, предназначенных для работы с паролями (хранение, генерирование, автоматический ввод)
- Самый важный совет: всегда обновляйте базы вашей антивирусной программы.
Гостевой пост в блоге Антона Попова.
Вчера был размещен мой гостевой пост, на тему “Безопасность блогов WordPress” в блоге Антона Попова. Если вы совсем недавно заинтересовались безопасностью своего блога, обязательно ознакомьтесь.
В дальнейшем планируется более подробно рассмотреть все пункты по увеличению безопасности вашего блога, так что подписывайтесь на RSS и ждите обновлений.
Обновление безопасности WordPress MU 1.3.3
Выпущена новая версия мультипользовательской версии WordPress, в которой исправлена уязвимость в работе протокола XML-RPC.
Рекомендуется обновить движок или как минимум заменить файл xmlrpc.php
Уязвимости в плагинах dmsguestbook, st_newsletter, Wordspew, wp-footnotes
В плагине dmsguestbook 1.7.0 найдено несколько уязвимостей. Одна из них позволяет подменить ваш wp-config.php файл, таким образом злоумышленник может получить доступ к информации в вашей базе данных. Это связанно с плохой проверкой параметров папки/файла. Кроме этой, в плагине присутствуют еще несколько критических XSS уязвимостей.
Настоятельно рекомендуется отключить и временно не использовать этот плагин, до выхода исправлений.
Сейчас существует 1.8 версия этого плагина, но она не исправляет все найденные уязвимости этого плагина.
Плагин wp-footnotes 2.2 имеет уязвимость, которая позволяет злоумышленнику попасть в панель администрирования плагина через URL. Это результат XSS уязвимости. Исправления пока не выпущены.
Срочное обновление безопасности WordPress 2.3.3
Сегодня было объявлено о выходе новой версии WordPress, в которой исправлена критическая уязвимость в работе протокола XML-RPC.
Скачать новую версию WordPress, можно на сайте разработчика.
Если вы не хотите полностью обновлять свой блог, можно просто скачать и обновить файл xmlrpc.php.
Уязвимости в плагинах wp-calc и wp-adserv
WebLogTools сообщают о двух новых уязвимостях, найденных в WordPress плагинах:
Сегодня найдена уязвимость SQL Иньекции в WordPress плагине WP-Cal версий 0.х
Человек который называет себя “enter_the_dragon” сообщил об уязвимости в WordPress плагине Adserve Plugin version 0.2.
Подробности читайте на сайте WebLogTools
Для устранения уязвимости в плагинe AdServe скачайте и установите, новую версию плагина.
