Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://archbor.gov.ua (хакером 0×1998) - 27.07.2024 - похаканий державний сайт
• https://lingvostud.vnu.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://volyntext.vnu.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://e-forum.lntu.edu.ua (хакером KingSkrupellos) - 01.05.2024
• https://bestrestoran.com.ua (хакером Rayzky) - 22.11.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах adivaha Travel, Forminator, Elementor, Masterstudy LMS. Для котрих з’явилися експлоіти.

• WordPress adivaha Travel Plugin 2.3 - SQL Injection (деталі)
• WordPress adivaha Travel Plugin 2.3 - Reflected XSS (деталі)
• WordPress Plugin Forminator 1.24.6 - Unauthenticated Remote Command Execution (деталі)
• Wordpress Plugin Elementor 3.5.5 - Iframe Injection (деталі)
• Wordpress Plugin Masterstudy LMS 3.0.17 - Unauthenticated Instructor Account Creation (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://archbor.gov.ua (хакером 0×1998) - 27.07.2024 - похаканий державний сайт
• https://journals.knute.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://relint.vnu.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://snku.krok.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://doctor-vinnik.com.ua (хакерами з Turk Hack Team) - 22.04.2024

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://infokiosk.khm.gov.ua (хакером aDriv4) - 19.06.2024 - похаканий державний сайт
• https://biosept.com.ua (хакером Rayzky) - 11.04.2024
• https://wgsparts.com.ua (хакером CrankySt@lker) - 16.04.2024
• https://sed.ieu.edu.ua (хакером KingSkrupellos) - 20.04.2024
• https://ogpe.nung.edu.ua (хакером KingSkrupellos) - 20.04.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AN_Gradebook, Ninja Forms, EventON Calendar і темі Medic. Для котрих з’явилися експлоіти.

• WordPress Theme Medic v1.0.0 - Weak Password Recovery Mechanism for Forgotten Password (деталі)
• WordPress Plugin AN_Gradebook 5.0.1 - SQL Injection (деталі)
• WordPress Plugin Ninja Forms 3.6.25 - Reflected XSS (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Event Access (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Post Access via IDOR (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://pd.ipiend.gov.ua (хакером KingSkrupellos) - 20.04.2024 - похаканий державний сайт
• https://academyfc.com.ua (хакером Rayzky) - 14.03.2024
• https://yablunivka-nvk.pp.ua (хакером jok3r) - 19.03.2024
• https://uaror.org.ua (хакером BowoHaxor) - 22.03.2024
• DDoS атака на telegraf.in.ua - 10.03.2025

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://lis.freelife.cv.ua (хакером chinafans) - 24.02.2024
• https://baofengradio.com.ua (хакером chinafans) - 24.02.2024
• 14 сайтів хакером Hades - 26.02.2024
• https://academyfc.com.ua (хакером Rayzky) - 14.03.2024
• DDoS атака на ukrainer.net - 30.01.2025

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• Хакнули державну компанію “Укрзалізниця” (росіяни) - 23.03.2025
• https://goshki.freelife.cv.ua (хакером chinafans) - 23.02.2024
• https://ndf.org.ua (хакером Rayzky) - 14.03.2024
• DDoS атака на most.ks.ua - 01.11.2024
• DDoS атака на tvfreedom.io - 17.01.2025

Через кібератаку на Укрзалізницю не працює продаж квитків.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AN_Gradebook, Ninja Forms, EventON Calendar і темі Medic. Для котрих з’явилися експлоіти.

• WordPress Theme Medic v1.0.0 - Weak Password Recovery Mechanism for Forgotten Password (деталі)
• WordPress Plugin AN_Gradebook 5.0.1 - SQL Injection (деталі)
• WordPress Plugin Ninja Forms 3.6.25 - Reflected XSS (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Event Access (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Post Access via IDOR (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://infokiosk.khm.gov.ua (хакером aDriv4) - 19.06.2024 - похаканий державний сайт
• https://ukrmetering.com.ua (хакером M4DI~UciH4) - 25.02.2024
• DDoS атака на unian.ua - 23.10.2024
• Хакнули компанію Lanet (X/Twitter і телефонію) - 19.02.2025
• DDoS атака на lanet.ua - 20.02.2025