На днях в старых версиях Drupal была обнаружена очередная дыра безопасности. На самом деле их несколько, но их объединили под одно ид: SA-CONTRIB-2017-029

Уязвимость находится не в самом ядре, а в модуле, поэтому первым делом проверьте и запретите в сервисах галочку "application/vnd.php.serialized"

Удаленное исполнение кода в Drupal 7.x
Удаленное исполнение кода в Drupal 7.x

Многие сайты сейчас используют рекапчу от гугла и не зря: простое и удобное решение в борьбе со спамом. Но вместе с тем многие умы бьются над расшифровкой алгоритмов работы гуглокапчи, дабы обойти эту защитную меру. Способы достаточно оригинальны и интересны, само забавно, что технологии Google в большинстве случаев помогают взломать Recaptcha. Как это происходит и почему, рассмотрим в нашем материале.

Уязвимости Google Recaptcha 2 или как обойти капчу
Уязвимости Google Recaptcha 2 или как обойти капчу

Сегодня ночью сайтам на вордпресс прилетело очередное обновление безопасности. Те, кто предпочитают обновлять вручную, должны принять к сведению сей факт и поторопиться внести изменения на сайт.

Как и в предыдущий раз ( Обновление безопасности Wordpress 4.7.2 ), в этот раз релиз содержит кроме исправлений изъянов защиты также фиксинг различных багов.

Релиз безопасности Wordpress 4.7.3
Релиз безопасности Wordpress 4.7.3

Не так давно был анонсирован релиз безопасности Wordpress 4.7.1, посвященный по большинству уязвимости в PHPMailer, как на сервере обновления появилась очередная заплатка критических уязвимостей. Многим уже обновление пришло по воздуху, для тех, кто не любит автообновление, настоятельно рекомендуется применить правки вручную. В данном патче безопасности будет интересна одна SQL-уязвимость в WP_Query, при определенном подходе может вызвать массовые атаки на необновленные сайты.

Критическое обновление безопасности вордпресс 4.7.2
Критическое обновление безопасности вордпресс 4.7.2

Большинству пользователям блогов и сайтов на вордпрессе прилетело обновление по воздуху. Для тех, у кого отключено автоматическое обновление настоятельно советуется обновиться вручную. Wordpress 4.7.1 содержит исправление 61 бага и 8 обнаруженных уязвимостей. Поэтому данный релиз вордпресса можно назвать обновлением безопасности.

Обновление безопасности Wordpress 4.7.1
Обновление безопасности Wordpress 4.7.1

Несмотря на достаточно большое количество уязвимостей, я бы сказал они носят достаточно непосредственный характер и многим хакерам будут неинтересны. Рассмотрим более детально новые дыры в вордпресс:

  • Обновление библиотеки PHPMailer, исправляющее удаленное исполнение кода. Несмотря на заверение разработчиков, что вордпресса оно не касается, они решили лишний раз перестраховаться.
  • Раскрытие пользовательских данных для остальные через REST API
  • Межсайтовый скриптинг (XSS) через имя плагина или заголовок версии в update-core.php
  • Межсайтовая подделка запроса (CSRF) при загрузке Flash файла
  • Межсайтовый скриптинг (XSS) через название темы
  • Публикация через проверки email, если настройки по умолчанию не были изменены
  • Межсайтовая подделка запроса (CSRF) была обнаружена при получении в режиме совместимости редактирования виджета
  • Слабая криптографическая защита ключа активации для мультисайтов

Кроме этого были исправлены различные баги: Bootstrap, темы Twenty Seventeen, комментариев, кодировки, поделиться, медиа, HTTP API, кастомизация, REST API, обновление/установка и многие другие.

Обновляемся и остаемся в курсе последних событий безопасности!