Все сайты, основанные на системе управления контентом WordPress 3.x и допускающие размещение комментариев к публикациям, подвержены опасной уязвимости (http://klikki.fi/adv/wordpress_press.html), позволяющей атакующему разместить специально оформленный комментарий, при просмотре которого будет выполнен JavaScript код злоумышленника. Для демонстрации опасности выявленной проблемы была подготовлена атака, позволившая незаметно организовать перехват параметров сессии администратора блога, просмотревшего вредоносный комментарий, и использования перехваченной информации для создания новой привилегированной учётной записи и использования редактора плагинов для организации выполнения PHP-кода на сервере.Недавно представленный выпуск WordPress 4.0 проблеме не подвержен, но разработчики выпустили (https://wordpress.org/news/2014/11/wordpress-4-0-1/) корректирующий выпуск WordPress 4.0.1, в который интегрированы некоторые дополнительные механизмы защиты. На данный выпуск рекомендовано срочно перейти всем пользователей ветки WordPress 3.x, поддержка которой уже прекращена. По предварительной оценке проблема присутствует на примерно 86% сайтов, построенных с использованием WordPress.
URL: http://arstechnica.com/security/2014/11/four-year-old-commen.../
Новость: http://www.opennet.me/opennews/art.shtml?num=41119
Авторы WordPress прекратили поддержку 86% сайтов, построенных с использованием WordPress. Нда.
Строго говоря авторы ВордПресса не должны заниматься "поддержкой сайтов". Они должны заниматься поддержкой своей программы. Они это делают. Остальное -- проблемы админов сайтов, которые не хотят/не могут обновиться на актуальную версию.
Не цепляйся к словам, имелось ввиду «86% своих пользователей», хотя на самом деле это не так, патчи для 3.x вышли, в новости не верно было написано (теперь дополнили).
> Для тех, кто не может срочно мигрировать на ветку 4.0, подготовлены внеплановые корректирующие выпуски 3.9.3, 3.8.5 и 3.7.5.Или Аноним читает новость через строчку?
и чё сделать, чтобы поюзать? почему самый смак новости отпустили?
Чтоб мамкины хакеры не полезли хакать всё подряд, очевидно.
А вот зря. Чем выше активность мамкиных хакеров, тем больше простой народ "у меня нечего хакать" будет думать о безопасности.
что за ущемление прав мамкиных хакеров?
> что за ущемление прав мамкиных хакеров?Скорее ущемление тех кто не умеет читать и ходить по ссылкам - у этих фиников на самом видном месте колоритный PoC выложен :).
Настоящие джедаи по ссылкам не ходят и поэтому PoC эти ламаки не нашли. А напрасно, он симпатичную картинку из амиги показывает на уязвимых вордпрессах.
Worm press vs jumpla
Тогда и Drupal туда же. Недавно сказали, что все сайты, кто не успел обновиться, являются скомпрометированными.
Учитывая, сколько дыр регулярно находят (а сколько ещё не нашли!) в Wordpress и Joomla, сайты на этих движках можно считать перманентно скомпрометированными.
О! Сотрудники битрикса подвалили. Чо, продажи падают?
Ха! В Битриксе дыры заботливо создают сами разрабы платформы, ведь это хлеб для специально обученных обезьян.
> Учитывая, сколько дыр регулярно находят (а сколько ещё не нашли!) в WordpressИ сколько? Обычно дыры - в всяких левых дополнениях. В самом вордпрессе их мало.
> и Joomla, сайты на этих движках можно считать перманентно скомпрометированными.
Как ни странно - и с ней та же история.
Ну и кроме того оба продукта популярны. Да, в Pupkin's CMS дыр нет. Потому что хакеры никак не могут найти хоть 1 инсталляцию, чтобы попытаться ее сломать :)
Это php, ничего не поделать.
Япон-батон, дак хоть бы права на скрипты на чтение выставляли.
Глядишь, и ломалось бы поменьше.
> Япон-батон, дак хоть бы права на скрипты на чтение выставляли.
> Глядишь, и ломалось бы поменьше.Вы что, глупые? Тут проблема в слабой валидации входных данных. При этом не важно на чем она сделана. А права на чтение ... админу? А админить он как потом будет? Может компьютер сразу от сети отключить? Так хакеры уж точно обломаются.