Уязвимость в Forminator затрагивает сотни тысяч сайтов
🚨 В плагине Forminator для WordPress, используемом более чем на 500,000 сайтах, выявлены критические уязвимости, позволяющие злоумышленникам удалённо загружать вредоносный код.
💥Среди обнаруженных уязвимостей - CVE-2024-28890 с оценкой CVSS 9.8, которая уже использовалась в атаках, и другие, позволяющие SQL-инъекции и межсайтовый скриптинг.
🔐 Разработчики настоятельно рекомендуют обновить плагин до последней версии 1.29, поскольку только 55,9% установок обновлены и более 220,000 сайтов остаются уязвимыми.
#крибербезопасность #WordPress #Forminator @SecLabNews
💥Среди обнаруженных уязвимостей - CVE-2024-28890 с оценкой CVSS 9.8, которая уже использовалась в атаках, и другие, позволяющие SQL-инъекции и межсайтовый скриптинг.
#крибербезопасность #WordPress #Forminator @SecLabNews
Please open Telegram to view this post
VIEW IN TELEGRAM
SecurityLab.ru
9.8 из 10: свыше 200 тысяч веб-сайтов под угрозой взлома из-за уязвимостей в Forminator
Японские специалисты выявили 3 недостатка, подрывающие безопасность сайтов на WordPress.
🤯7👍6🤣3🤨3👀3🤬2🤷2🌚1🙊1👾1
Forwarded from 0day Alert
wp2shell. Одна ошибка в ядре WordPress открывает путь к захвату миллионов сайтов
В ядре WordPress нашли уязвимость, которая позволяет захватить сайт одним анонимным HTTP-запросом. Ни логин, ни плагины, ни особые условия не нужны. Цепочку назвали wp2shell, она собрана из двух ошибок с идентификаторами CVE-2026-60137 и CVE-2026-63030. Полный вектор удалённого выполнения кода работает в WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1. Патчи уже вышли в версиях 6.8.6, 6.9.5 и 7.0.2.
Красота атаки в том, что по отдельности обе ошибки не выглядят катастрофой. Первая - SQL-инъекция в классе WP_Query через параметр author__not_in. Вторая - сбой в пакетной обработке маршрута REST API /wp-json/batch/v1, где через вложенную последовательность запросов данные из одного подзапроса подхватывает обработчик другого. Так подготовленное значение доезжает до уязвимого параметра, и две небольшие ошибки складываются в удалённое выполнение кода без аутентификации.
Разработчики уже включили принудительное распространение патча через автообновление, а Cloudflare с 17 июля включила правила WAF для обеих CVE. Но администраторам всё равно стоит проверить версию сайта вручную: автообновление зависит от конфигурации сервера и прав доступа. Патч уже публичный, а значит по разнице кода можно восстановить рабочий эксплойт.
#WordPress #wp2shell #RCE #CVE
@ZerodayAlert
В ядре WordPress нашли уязвимость, которая позволяет захватить сайт одним анонимным HTTP-запросом. Ни логин, ни плагины, ни особые условия не нужны. Цепочку назвали wp2shell, она собрана из двух ошибок с идентификаторами CVE-2026-60137 и CVE-2026-63030. Полный вектор удалённого выполнения кода работает в WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1. Патчи уже вышли в версиях 6.8.6, 6.9.5 и 7.0.2.
Красота атаки в том, что по отдельности обе ошибки не выглядят катастрофой. Первая - SQL-инъекция в классе WP_Query через параметр author__not_in. Вторая - сбой в пакетной обработке маршрута REST API /wp-json/batch/v1, где через вложенную последовательность запросов данные из одного подзапроса подхватывает обработчик другого. Так подготовленное значение доезжает до уязвимого параметра, и две небольшие ошибки складываются в удалённое выполнение кода без аутентификации.
Разработчики уже включили принудительное распространение патча через автообновление, а Cloudflare с 17 июля включила правила WAF для обеих CVE. Но администраторам всё равно стоит проверить версию сайта вручную: автообновление зависит от конфигурации сервера и прав доступа. Патч уже публичный, а значит по разнице кода можно восстановить рабочий эксплойт.
#WordPress #wp2shell #RCE #CVE
@ZerodayAlert
🙊17💯4👏2⚡1