Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Absolutely Glamorous Custom Admin, Pods, Easy Testimonials, Yoast SEO, allow-l10n-upload-filename. Для котрих з’явилися експлоіти.

• WordPress Absolutely Glamorous Custom Admin 6.4.1 Database Disclosure (деталі)
• WordPress Pods 2.7.9 Database Disclosure (деталі)
• WordPress Easy Testimonials 3.2 Cross Site Scripting (деталі)
• WordPress SEO (Yoast SEO) 9.1 Race Condition / Command Execution (деталі)
• WordPress allow-l10n-upload-filename 1.0 Arbitrary File Download (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://journal.dntb.gov.ua (хакером KingSkrupellos) - 09.08.2023 - похаканий державний сайт
• https://smorzh.opishne-museum.gov.ua (хакерами з Family Attack Cyber) - 09.08.2023 - похаканий державний сайт
• https://setsushi.com.ua (хакером M@rAz Ali) - 15.09.2023
• https://xenon.net.ua (хакером Rayzky) - 26.04.2024
• https://body1.com.ua (хакером Rayzky) - 26.04.2024

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://kam-pod.gov.ua (хакером aDriv4) - 07.08.2023 - похаканий державний сайт
• https://ojs.iod.gov.ua (хакером KingSkrupellos) - 09.08.2023 - похаканий державний сайт
• https://mistim.com.ua (хакером Rayzky) - 21.06.2020
• https://biosept.com.ua (хакером Rayzky) - 11.04.2024
• росіяни хакнули ефірну систему телеканалу Еспресо - 19.02.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах PeepSo, Custom Frontend Login Registration Form, Ninja Forms, Universal Post Manager і темах CherryFramework. Для котрих з’явилися експлоіти.

• WordPress PeepSo 1.11.2 Cross Site Scripting (деталі)
• WordPress Custom Frontend Login Registration Form 1.01 Cross Site Scripting (деталі)
• WordPress Ninja Forms 3.3.17 Cross Site Scripting (деталі)
• WordPress CherryFramework Themes 3.1.4 Backup File Download (деталі)
• WordPress Universal Post Manager 1.5.0 Database Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• DDoS атака на mon.gov.ua (росіянами) - 07.02.2024 - атакований державний сайт
• https://apostrophe.ua (російські хакери) - 18.02.2024
• https://telegraf.com.ua (російські хакери) - 18.02.2024
• http://cqham.org.ua (хакером Indonesia Attacker) - 16.01.2023
• http://teplyypol-woks.com.ua (хакером KingSmoke) - 22.02.2023

Також росіянами були хакнуті 18.02.2024 акаунти УП і Liga в X.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Question Answer, Arforms, Media File Manager, WP User Manager, PeepSo. Для котрих з’явилися експлоіти.

• WordPress Question Answer 1.2.30 Cross Site Scripting (деталі)
• WordPress Arforms 3.5.1 Arbitrary File Delete (деталі)
• WordPress Media File Manager 1.4.2 Directory Traversal (деталі)
• WordPress WP User Manager 2.0.8 SQL Injection (деталі)
• WordPress PeepSo 1.11.2 SQL Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vtz.asv.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• http://journals.dnpb.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• http://journal.sops.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• http://npstudies.dnpb.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• https://raisa.gadalka.s-host.net (росіянами) - 15.03.2022
• https://rushana.com.ua (росіянами) - 15.03.2022
• KatiB хакнув 288 сайтів, окрім раніше згаданих п’яти державних - 10.11.2023

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://jna.bio.gov.ua (хакером Dr.3v1l) - 08.06.2023 - похаканий державний сайт
• http://vnv.asv.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• https://pavlova.gadalka.s-host.net (росіянами) - 15.03.2022
• https://nelya.gadalka.s-host.net (росіянами) - 15.03.2022
• https://spu.fmm.kpi.ua (хакером KatiB) - 22.07.2022

Раніше писав про другий масовий взлом сайтів на сервері URAN. Вже стався третій - 10.11.2023 турок KatiB хакнув 293 сайтів, у т.ч. п’ять державних. І це він робить щороку в Україні.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах PDF And Print, Pie Register, Support Board, Wordfence. Для котрих з’явилися експлоіти.

• WordPress PDF And Print 2.0.2 Cross Site Scripting (деталі)
• WordPress Pie Register 3.0.15 Cross Site Scripting (деталі)
• WordPress Support Board 1.2.3 Cross Site Scripting (деталі)
• WordPress Wordfence 7.1.12 XSS / Username Disclosure (деталі)
• WordPress Pie Register 3.0.17 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vnv.asv.gov.ua (хакером mr.kro0oz.305) - 23.04.2022 - похаканий державний сайт
• http://vtz.asv.gov.ua (хакером Mr.Kro0oz.305) - 23.04.2022 - похаканий державний сайт
• https://potolki-dnipro.dp.ua (росіянами) - 15.03.2022
• DDoS атака на Київстар (росіянами) - 12.12.2023
• DDoS атака на monobank.ua (росіянами) - 12.12.2023

Після атаки на Київстар зросло навантаження на інші мобільні мобільні оператори, а в деяких терміналах банків були збої.