Критическая уязвимость влияет на плагин WordPress Tutor LMS Pro @wordpressz

Была выпущена рекомендация о критической уязвимости в популярном плагине Tutor LMS Pro WordPress. Уязвимость с рейтингом 8,8 по шкале от 1 до 10 позволяет злоумышленнику, прошедшему проверку подлинности, извлечь конфиденциальную информацию из базы данных WordPress. Уязвимость затрагивает все версии до 3.7.0 включительно.

Уязвимость возникает из-за неправильной обработки предоставленных пользователем данных, что позволяет злоумышленникам внедрить SQL-код в запрос базы данных. The Консультации WordFence объясняет:

“Плагин решения для электронного обучения и онлайн-курсов Tutor LMS Pro – для WordPress уязвим к внедрению SQL на основе времени через параметр ‘order’, используемый в функции get_submited_assignments () во всех версиях до 3.7.0 включительно из-за недостаточного экранирования предоставленного пользователем параметра и отсутствия достаточной подготовки к существующему SQL-запросу. “

Найдена уязвимость в Contact Form 7, WPForms, Elementor Forms Plugin @wordpressz

Уязвимость WordPress затронула до 70 000 веб-сайтов, использующих плагин базы данных для отправки контактных форм.

Выпущено предупреждение об уязвимости для плагина WordPress, сохраняющего данные контактной формы. Эта уязвимость позволяет неавторизованным злоумышленникам удалять файлы, запускать атаки типа «отказ в обслуживании» или выполнять удалённый код. Уязвимости присвоен уровень серьёзности 9,8 по шкале от 1 до 10, что соответствует серьёзности проблемы.

Уязвимость в 3 файловых плагинах WordPress затрагивает 1,3 миллиона сайтов @wordpressz

Wordfence назвал следующие три плагина, затронутые этой уязвимостью:

1. Плагин файлового менеджера WordPress
Установки: 1 миллион

2. Расширенный файловый менеджер – Ultimate WP Файловый менеджер и решение библиотеки документов
Установки: 200 000+

3. Файловый менеджер Pro – Filester
Установки: 100 000+

По данным Консультации WordFence, уязвимость может быть использована без аутентификации, но только если владелец сайта сделал файловый менеджер общедоступным, что смягчает возможность эксплуатации. Тем не менее, два плагина указали в своих журналах изменений, что злоумышленнику необходима аутентификация как минимум на уровне абонента - самый низкий уровень учетных данных веб-сайта.

1️⃣ Вы можете оставлять свою электронную почту в комментариях под интересующими темами и плагинами. Если боитесь за спам - то можете писать в сообщения каналу, чтобы диалог был личным, но тогда указывайте ссылку на интересующий вас плагин или тему. Стоимость сообщения чисто символическая - 20 звёзд. Это позволяет получать копеечку за работу и потраченное время.
2️⃣ Если у вас есть интересные предложения по развитию или просьбы - пишите в комментарии
3️⃣ Не забывайте, что канал продаётся тут
4️⃣ Поддержать проект можно тут.

‼️Целесообразность работы проекта - около 10к рублей дохода ежемесячно. Вместе вы можете поддержать его дальнейшее существование. Спасибо всем поддерживающим.

Некоторые шаблоны и плагины размещаются как раньше - в свободном доступе, но со временем удаляются. Идут эксперименты по работе в канале, до сентября. Далее, если ничего не выйдет, то будет резкое сокращение постов в силу нехватки времени и отсутствия отдачи