Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book

Tag: wordpress

Kampania masowych infekcji WordPressa – jest też kilka ofiar z Polski

21 września 2018, 10:18 | W biegu | komentarzy 15

O problemie donosi Malwarebytes. Przejęcie kontroli nad serwisem odbywa się najprawdopodobniej poprzez podatności w niezaktualizowanych pluginach. Zainfekowana strona wyświetla użytkownikom niepokojące komunikaty o infekcji (tym razem lokalnego systemu) – a to wszystko żeby zmusić potencjalne ofiary do zainstalowania czegoś (czytaj: malware) na swoim komputerze. Malwarebytes donosi o większej intensywności w…

Czytaj dalej »

Plugin CAPTCHA do WordPressa (300 000 instalacji) – z backdoorem

20 grudnia 2017, 19:00 | W biegu | 1 komentarz

Niepokojący opis historii darmowego pluginu do WordPressa oferowanego przez BestWebSoft (300 000 aktywnych instalacji), pierwsze miejsce w oficjalnym repozytorium WordPress – po wyszukaniu captcha. Plugin został przekazany (sprzedany?) pod opiekę innej firmie (domena simplywordpress[]net), która uruchomiła aktualizację, umożliwiającą instalację backdoora. Backdoor dogrywany był w aktualizacji plugina, a sama aktualizacja dociągała plik…

Czytaj dalej »

Nieprzedłużona domena, WordPress i skrypt JavaScript

24 sierpnia 2017, 22:23 | W biegu | 1 komentarz

Aplikacje WWW narażone są na wiele zagrożeń; czasem są to klasyczne wektory ataku znane z OWASP Top 10, innym razem okazuje się, że potencjalna luka bezpieczeństwa “aktywuje się” dopiero po jakimś czasie. Sucuri donosi o przypadku odkrycia nierozwijanej wtyczki Enmask Captcha dla CMS WordPress, która ładowała skrypt JavaScript z zewnętrznej…

Czytaj dalej »

WordPress: możliwość resetu hasła dowolnemu użytkownikowi

04 maja 2017, 17:24 | W biegu | 1 komentarz

Teoretycznie podatne są wszystkie WordPressy – aż do najnowszego 4.7.4. Czy panikować? Nie. Raczej poczytać dokładnie oryginalny research + skrót poniżej. W praktyce mamy parę warunków, które muszą być spełnione: WordPress w mailu resetującym hasło ustawia nagłówek From/Return-Path bazując na zmiennej SERVER_NAME. Zmienną jednak można w pewnych sytuacjach kontrolować – za pomocą nagłówka…

Czytaj dalej »

SQL injection wiecznie żywy: plugin WordPress z 1 000 000+ instalacji

01 marca 2017, 22:25 | W biegu | komentarzy 6

W 2017 roku SQL injection wcale nie chce zniknąć. Tym razem firma Sucuri zlokalizowała tego typu podatność (nie wymagającą uwierzytelnienia) w popularnym pluginie do WordPressa –  NextGEN Gallery. Dla przypomnienia – SQLi umożliwia choćby pełen, nieautoryzowany dostęp do bazy danych (w tym przypadku – bazy podłączonej do WordPressa). Na deser…

Czytaj dalej »

Blog o bezpieczeństwie TrendMicro… hacknięty

12 lutego 2017, 14:15 | W biegu | komentarze 2

Wg serwisu Silicon tym razem był to … wielokrotnie wspominany w ostatnich dniach na sekuraku problem z WordPressem 4.7.0/4.7.1. Silicon zaznacza, że Rik Ferguson z Trend Micro potwierdził incydent i skwitował całość tak: it goes to show how breaches are an unfortunate fact of life and that companies should be judged…

Czytaj dalej »

Już ~1,5 miliona stron przejętych – critical w WordPress. Do akcji wkracza Google.

10 lutego 2017, 19:42 | W biegu | komentarzy 12

Niedawno pisaliśmy o podatności wprowadzonej w wersji 4.7.0 WordPressa. Później było o kampaniach wykorzystujących ten błąd (ofiarą są również serwisy z Polski). Obecnie pojedyncze kampanie przybrały na sile i jednocześnie pojawiły się nowe grupy atakujące WordPressa. Ciekawe zestawienie w tym temacie przygotowała firma Wordfence – gdzie mamy odpowiednie sygnatury kampanii…

Czytaj dalej »

Masowe hacki WordPressa – przejęte również polskie serwisy

07 lutego 2017, 21:47 | W biegu | komentarzy 17

Parę dni temu wspominaliśmy o podatności w WordPressie 4.7.0 / 4.7.1 umożliwiającej m.in. podmianę zawartości postów. Obecnie trwają zautomatyzowane kampanie atakujące podatne instancje. Wg Sucuri tylko jedna kampania, którą można namierzyć w Google wyszukując „by w4l3XzY3” miała wczoraj ~66 000 zainfekowanych stron (dzisiaj Google pokazuje już prawie 100 000 – choć…

Czytaj dalej »

Można bez uprawnień edytować posty w WordPress – aktualizujcie!

01 lutego 2017, 21:03 | W biegu | komentarzy 13

W WordPressie 4.7.0 włączono domyślnie API REST, które umożliwia na tworzenie, usuwanie czy edytowanie postów. Oczywiście tylko użytkownikom posiadającym uprawnienia… czy aby na pewno? Okazuje się, że pewien drobny błąd (związany z rzutowaniem zmiennych w PHP) umożliwia na edytowanie dowolnego posta bez uprawnień (!) – wystarczy posiadać tylko jego ID……

Czytaj dalej »

Znaleźli ~7000 pluginów do WordPress-a z istotnymi podatnościami. 20% to SQL injection

14 grudnia 2016, 19:41 | W biegu | komentarze 3

Opis analizy pluginów do WordPressa z wykorzystaniem zaledwie zautomatyzowanej, statycznej analizy kodu źródłowego. W badaniu przeanalizowano 47,959 pluginów a w prawie 3000 znaleziono podatności o wysokiej krytyczności. Same pluginy to zresztą istna wylęgarnia luk: Niektórych może też zastanawiać (niektórych nie) – wysoki odsetek podatności SQL injection (~20%). –ms

Czytaj dalej »

WordPress 3.6.1 łata remote code execution

16 września 2013, 09:04 | W biegu | 1 komentarz

Od kilku dni dostępne jest dość szczegółowe opracowanie dotyczące luki w WordPress < 3.6.1,  umożliwiającej zdalne wykonanie kodu w OS. Prawdopodobnie sprawa nie jest łatwo wykorzystywalna na „gołym” wordpressie. Jednak według autora znaleziska pewne (popularne) pluginy potrafią sprawę znacznie ułatwić. Wreszcie dostępna jest też polska wersja WordPressa 3.6.1, zalecamy zatem…

Czytaj dalej »