URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 116825
[ Назад ]
Исходное сообщение
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено opennews , 14-Мрт-19 08:25 
Опубликован (https://wordpress.org/news/2019/03/wordpress-5-1-1-security-.../) корректирующий релиз системы управления web-контентом WordPress 5.1.1, в котором устранена CSRF-уязвимость (https://blog.ripstech.com/2019/wordpress-csrf-to-rce/), позволяющая совершить атаку на администратора сайта для выполнения кода на сервере.


Предложенная атака требует, чтобы администратор сайта на базе WordPress открыл в своём браузере подготовленную злоумышленниками страницу, содержащую код для эксплуатации CSRF-уязвимости в обработчике комментариев WordPress. Уязвимость проявляется только на сайтах с включенной поддержкой отправки комментариев. При открытии вредоносной страницы в браузере администратора, от его имени создаётся комментарий к одной из записей на сайте.

Так как администратор обладает расширенными полномочиями по использованию HTML-тегов в комментариях, имеется возможность через манипуляцию с текстом, подставляемым в атрибут "title" тега "а href", добиться выполнения произвольного JavaScript-кода (передать строку вида '" onmouseover=evilCode()'). Имея возможность запуска  JavaScript в контексте сеанса администратора можно отправить запрос в управляющий web-интерфейс и организовать выполнение  PHP-кода через изменение PHP-файлов темы оформления.

В новом выпуске также добавлено предупреждение о повышении требований к версии PHP. Начиная с выпуска WordPress 5.2 в качестве минимально поддерживаемой версии будет заявлен PHP 5.6.  Также планируется поднять требования к версии MySQL до ветки MySQL 5.5. По предварительной оценке около 15% пользователей WordPress 5.0 используют версию PHP ниже 5.6 и им потребуется обновить свои системы. Что касается MySQL, то версии ниже MySQL 5.5 применяет всего 1.5% пользователей WordPress 5.0.


URL: https://wordpress.org/news/2019/03/wordpress-5-1-1-security-.../
Новость: https://www.opennet.me/opennews/art.shtml?num=50320

Содержание
Сообщения в этом обсуждении
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено istepan , 14-Мрт-19 08:45 
Стоит отдать должное.
Зашел в админку, нажал кнопку и все обновлено.
Сделал сайт и знай себе обновляй. Благодаря поддержке совместимости плагины не отваливаются.

Дырявым он кажется исключительно из-за своей популярности.

Единственный минус - это спагетти код и неудобное api при написании расширений и плагинов.

"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Онаним , 14-Мрт-19 09:08 
К тому моменту, как ты вспомнишь про админку, твой хостинг уже будет напичкан мейлерами и прочим добром. И это не умозаключение, это практика - у меня полно клиентов с этим добром, которые бэкап раскатывают периодически.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Онаним , 14-Мрт-19 09:08 
И да. Хуже только Joomla.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено _hide_ , 14-Мрт-19 09:12 
А Вы не ставьте расширений с помоек...
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Аноним , 14-Мрт-19 16:55 
Да мы-то его вообще не юзаем, так-то. На условных 100 клиентов с загруженной малварью за год - 50 на жумле и 40 на вп.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Anonim , 14-Мрт-19 21:52 
За какой год? 2013? Мы про текущее положение дел разговор ведём
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Аноним , 15-Мрт-19 10:31 
С разморозкой. На дворе 2019, так что за 2017 и 18. Впрочем, обилия юзающих версии 15-16 года, потому что апгрейд проблематичен, никто тоже не отменял. У нас до сих пор полно клиентов на пыхе 5.2 и 5.3, потому что их код выше не работает, а адаптировать некому.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Anonim , 15-Мрт-19 20:32 
Так вы определись бы сначала - новый php (2013+) или древняя Joomla
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Владимир , 14-Мрт-19 09:57 
Интересно чем? В Joomla не появляются уязвимости каждый месяц
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Вадии , 14-Мрт-19 09:58 
О да жумла конечно хуже за два года нет критических уязвимостей. В то время как вп стабильно пару раз в год.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено zzz , 14-Мрт-19 13:07 
В линуксе тоже когда-то не было критических уязвимостей, а как только началось широкое распространение - посыпался ворох CVE.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено istepan , 14-Мрт-19 09:49 
Ну не знаю, у меня три сайта на сопровождении, два года - полет нормальный.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Аноним , 15-Мрт-19 10:35 
Целых три? Преклоняю голову.

Тут маленький хостинг на десяток тысяч клиентов, с него (с абюзтима) и статистика.

"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено istepan , 15-Мрт-19 11:33 
> Целых три? Преклоняю голову.
> Тут маленький хостинг на десяток тысяч клиентов, с него (с абюзтима) и
> статистика.

Дело не в WP, дело во владельцах сайтов. Устанавливают взломанные темы и плагины со встроенными бэкдорам. Не следят за обновлением движка и плагинов.
Короче все как всегда.

"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Добрыйсурамаритянин , 15-Мрт-19 19:08 
Стоит последняя WP, при входе в админку встречает надпись Wordpress обновлен до версии 5.1.1! Автоматическое обновление будет происходить и далее.... И одна только кнопка переустановить wp-ruru. ЧЯДНТ
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Аноним , 14-Мрт-19 11:40 
для того что-бы так обновлять нужно открыть ftp доступ что уже не безопасно
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено istepan , 14-Мрт-19 12:21 
Там без ftp все обновляется.
Скачивается архив и распаковывается.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено forum reader , 14-Мрт-19 13:10 
WP для работы нужны права на запись только в папочку upload.
Если у http демона отобрать права на запись в остальные файлы-папки отвалится автоматическое обновление и большинство уязвимостей.

"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено ff , 14-Мрт-19 16:05 
иногда приходится выбирать между возможностью обновления и уязвимостями =)
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Who know , 14-Мрт-19 23:13 
Например линукс популярен, и что он тоже такой же дырявый?
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено имя , 15-Мрт-19 05:19 
видишь суслика? а он есть.
"В WordPress 5.1.1 устранена уязвимость, позволяющей получить..."
Отправлено Онаним , 14-Мрт-19 09:07 
Критическая уязвимость в WP - это очень ново и свежо. Там счёт ещё на тысячи, или уже на десятки тысяч?
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено OldMonster , 14-Мрт-19 09:57 
"Ещё 999 вёдер, и ключик - наш!"
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 14-Мрт-19 11:41 
А если реально, что посоветуете WP или Joomla?
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено th3m3 , 14-Мрт-19 12:17 
Что угодно, не на php.
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 14-Мрт-19 12:23 
А что тогда руби?
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено forum reader , 14-Мрт-19 13:11 
Lotus Notes Domino!
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено istepan , 14-Мрт-19 12:41 
Смотря для чего.
Если простой сайт, новости, форма обратной связи, простенький каталог, то WP подойдет.
В Joomla будет посложнее админка для обычного пользователя, зато удобней разрабатывать функционал.

Если хочется интернет магазин, то лучше смотреть opensource cms для интернет магазинов. Всякие prestashop и opencard. Там тоже есть свои особенности.

Если сами разбираетесь в php или есть толковый спец, то лучше писать используя фремворки. В СНГ популярен Yii2. Проблем найти разработчика не составит труда.

Писать на других языках, как тут пишут некоторые кадры, нет смысла, так как php (c 7-й версии) сейчас достаточно взрослый язык.
Если и писать, то на других языках нет толковых библиотек и фремворков. Те что есть слишком сложные и разработка выйдет в существенную копеечку.
Однако если нужен микросервис, то лучше Golang не найти, но как правило у людей знающих что такое "микросервис" вопросов в выборе инструмента возникает.

"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено zzz , 14-Мрт-19 13:08 
Drupal
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Ключевский , 14-Мрт-19 13:56 
Будь брутален, юзай hugo! Пиши свои страницы в markdown, коммить их в гит и генерь при помощи hugo. А главное научи это делать какого-нибудь заказчика, который компа боится, как огня
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 14-Мрт-19 16:34 
Нет никакой проблемы сделать приватную админку на другом хосте что будет засылать маркдаун куда надо и генерить. И само же выкладывать в S3.
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 14-Мрт-19 18:20 
Делал так уже. Именно хьюго, гит и макрдауном. На рабочем столе иконка "Опубликовать изменения". Notepad++ для создания и редактирования текстов. Ко всему в довесок две пдфки. В одной шпаргалка по маркдауну, во второй описание как оно устроено внутри простым языком для простых смертных. Запустил в 2017 году, с тех пор звонили дажды. Один раз когда случайно иконку удалили, второй когда их виртуалка легла по моему недосмотру. Давай лут и следующий квест.
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено YetAnotherOnanym , 14-Мрт-19 16:32 
<trollmode>
Treefrog
Zotonic
Kemal
Lapis
</trollmode>
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Kaiwas , 15-Мрт-19 00:09 
modx неплох
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 15-Мрт-19 10:28 
Чессгря, модх - пока лучшее, что я видел. Но для webdev-wannabe он слишком сложен и прост, не говоря уже об интернет-хомячках.
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 14-Мрт-19 12:10 
> В WordPress 5.1.1 устранена уязвимость

В смысле РНР убрали?

"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 15-Мрт-19 02:03 
😆😆😆
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Глеб , 14-Мрт-19 14:21 
Никогда не было и вот опять
"В WordPress 5.1.1 устранена уязвимость, позволяющая получить..."
Отправлено Аноним , 21-Мрт-19 14:45 
Почему-то из консоли после обновления пропал раздел ссылки