Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://journal.sops.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• https://3d-shod-razval.com.ua (хакером chinafans) - 23.02.2024
• https://ukrmetrservice.com.ua (хакером M4DI~UciH4) - 25.02.2024
• DDoS атака на tvfreedom.io - 22.09.2024
• DDoS атака на detector.media - 16.10.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах NEX-Forms, Translatepress Multilinugal, Paid Memberships Pro, Backup Migration і темі Workreap. Для котрих з’явилися експлоіти.

• NEX-Forms WordPress plugin < 7.9.7 - Authenticated SQLi (деталі)
• Translatepress Multilinugal WordPress plugin < 2.3.3 - Authenticated SQL Injection (деталі)
• Paid Memberships Pro v2.9.8 (WordPress Plugin) - Unauthenticated SQL Injection (деталі)
• WordPress Plugin Backup Migration 1.2.8 - Unauthenticated Database Backup (деталі)
• WordPress Theme Workreap 2.2.2 - Unauthenticated Upload Leading to Remote Code Execution (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• Хак локальної мережі Міністерства розвитку громад та територій України (російськими хакерами) - 06.2023
• https://journals.dnpb.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• https://esolar.com.ua (хакером DaGunnaPK1337) - 22.02.2024
• https://comfortpoint.com.ua (хакером Rayzky) - 24.02.2024
• https://keymap.ua (хакером Rayzky) - 24.02.2024

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• вебсайт Мінюсту (російськими хакерами) - 19.12.2024 - похаканий державний сайт
• вебсайт ДП “НАІС” (російськими хакерами) - 19.12.2024 - похаканий державний сайт
• вебсайт колцентру (російськими хакерами) - 19.12.2024 - похаканий державний сайт
• http://productivity.ikd.kiev.ua (хакерами з 1915 Team) - 24.04.2023
• http://serial.drone.ua (хакерами з 1915 Team) - 21.08.2023

Як я писав у FB, українські держреєстри зазнали наймасштабнішої зовнішньої кібератаки. Хоча я десятки років попереджав.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://vnv.asv.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• https://vtz.asv.gov.ua (хакером KatiB) - 10.11.2023 - похаканий державний сайт
• http://my-notes.ikd.kiev.ua (хакерами з 1915 Team) - 24.04.2023
• http://ojs.ikd.kiev.ua (хакерами з 1915 Team) - 24.04.2023
• http://20.zosh.zt.ua (хакерами з Clash Hackers) - 24.12.2023

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Contactpage Designer, Zerotolaunch, Cart66, Events Made Easy, Caldera Forms. Для котрих з’явилися експлоіти.

• WordPress wp-contactpage-designer 1.0 Database Disclosure (деталі)
• WordPress zerotolaunch 1.0 Database Disclosure (деталі)
• WordPress cart66 cart66-lite 1.0 Database Disclosure (деталі)
• WordPress Events Made Easy 2.0.68 Database Disclosure (деталі)
• WordPress Caldera Forms 1.7.4 Database Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://kapitol.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://malokomush.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://study.intership.com.ua (хакером KatiB) - 08.11.2023
• https://rupor.pp.ua (хакером Rayzky) - 26.04.2024
• https://mir-nevest.com (хакером Panataran) - 11.09.2024

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://spivakivka.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://oskilschool.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://ovruch-ptu-35.com.ua (хакером KatiB) - 08.11.2023
• https://explus.com.ua (хакером Rayzky) - 26.04.2024
• DDoS атака на uakey.com.ua (росіянами) - 26.08.2024

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах II_OData_Importer, Paid Memberships Pro, BackWpUP, rss-feed-post-generator-echo, Total-Child-Theme-Master. Для котрих з’явилися експлоіти.

• WordPress II_OData_Importer 1.0 Database Disclosure (деталі)
• WordPress paid-memberships-pro 1.5.2 Database Disclosure (деталі)
• WordPress BackWpUP 3.6.6 Database Disclosure (деталі)
• WordPress rss-feed-post-generator-echo 1.0.0 Database Disclosure (деталі)
• WordPress Total-Child-Theme-Master 1.0 Arbitrary File Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://studenoknvk123s.oskil-okms.gov.ua (хакером aDriv4) - 31.10.2023 - похаканий державний сайт
• https://geoquartz.ua (хакерами з Foursdeath Team) - 20.02.2024
• https://uwtech.knuba.edu.ua (хакером KingSkrupellos) - 20.04.2024
• DDoS атака на Монобанк (росіянами) - 16.08.2024