Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Simple Fields, Google Drive, Activity Logs, File Upload, Star Review System. Для котрих з’явилися експлоіти.

• WordPress Simple Fields 0.3.5 File Inclusion / Remote Code Execution (деталі)
• WordPress Google Drive 2.2 Remote Code Execution (деталі)
• WordPress Activity Logs 2.4.0 Cross Site Scripting (деталі)
• WordPress File Upload 4.3.3 Cross Site Scripting (деталі)
• WordPress Rating-Widget: Star Review System 2.8.9 Information Disclosure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Site Editor, Event Manager, WP Security Audit Log, Relevanssi, Contact Form 7 To Database Extension. Для котрих з’явилися експлоіти.

• WordPress Site Editor 1.1.1 Local File Inclusion (деталі)
• WordPress Event Manager 5.8.1.1 Cross Site Scripting (деталі)
• WordPress WP Security Audit Log 3.1.1 Information Disclosure (деталі)
• WordPress Relevanssi 4.0.4 Cross Site Scripting (деталі)
• WordPress Contact Form 7 To Database Extension 2.10.32 CSV Injection (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше, 12.03.2013, я знайшов Brute Force, Cross-Site Scripting та Fingerprinting уразливості на сайті bonus.privatbank.ua. В той час я вислав ці уразливості банку.

Brute Force (WASC-11):

http://bonus.privatbank.ua/sa/close/login

Відсутність захисту від підбору пароля адміна.

Cross-Site Scripting (WASC-08):

http://bonus.privatbank.ua/single/chat/category/1%22;alert(document.cookie);a=%22

http://bonus.privatbank.ua/single/chat/question/70%22;alert(document.cookie);a=%22

Також виявив численні Fingerprinting уразливості - витоки версій додатків і використання старих версій веб сервера та MySQL.

ПриватБанк тоді проігнорував ці уразливості, але через багато років приховано виправив. Таким чином банк кинув мене, як це було з дірками на promos.privatbank.ua та інших сайтах ПБ.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Doctor Appointment Booking, UltimateMember, Duplicator та в самому WordPress. Для котрих з’явилися експлоіти.

• WordPress Doctor Appointment Booking 1.0.0 SQL Injection / XSS (деталі)
• WordPress Core load-scripts.php Denial Of Service (деталі)
• WordPress Core Denial Of Service (деталі)
• WordPress UltimateMember 2.0 Cross Site Scripting (деталі)
• WordPress Duplicator 1.2.32 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Email Subscribers And Newsletters, Good LMS, Splashing Images, Propertyhive, Bookly Lite. Для котрих з’явилися експлоіти.

• WordPress Email Subscribers And Newsletters 3.4.7 Information Disclosure (деталі)
• WordPress Good LMS SQL Injection (деталі)
• WordPress Splashing Images 2.1 Cross Site Scripting / PHP Object Injection (деталі)
• WordPress Propertyhive 1.4.14 Cross Site Scripting (деталі)
• WordPress Bookly Lite 13.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах MQ ReLinks, Dbox 3D Slider Lite, Smooth Slider, Testimonial Slider, WP File Manager. Для котрих з’явилися експлоіти.

• WordPress MQ ReLinks 1.8 XSS / Open Redirection (деталі)
• WordPress Dbox 3D Slider Lite 1.2.2 SQL Injection (деталі)
• WordPress Smooth Slider 2.8.6 SQL Injection (деталі)
• WordPress Testimonial Slider 1.2.4 SQL Injection (деталі)
• WordPress WP File Manager 1.9 Server-Side Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах LearnDash, Admin Menu Tree Page View, Events Calendar, Service Finder Booking, Download Manager. Для котрих з’явилися експлоіти.

• WordPress LearnDash 2.5.3 File Upload (деталі)
• WordPress Admin Menu Tree Page View 2.6.9 CSRF / Privilege Escalation (деталі)
• WordPress Events Calendar 1.0 SQL Injection (деталі)
• WordPress Service Finder Booking Local File Disclosure (деталі)
• WordPress Download Manager 2.9.60 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Раніше, 11.05.2013, я знайшов Brute Force та Insufficient Anti-automation уразливості на сайті promos.privatbank.ua. В той час вислав ці уразливості банку. Пізніше я знайшов на сайті ще Fingerprinting, Cross-Site Scripting та інші уразливості, які вони виправили і заплатили мені, але не ці.

Brute Force (WASC-11):

http://promos.privatbank.ua/admin/

Відсутність захисту від підбору пароля адміна.

Insufficient Anti-automation (WASC-21):

В формах на різних сторінках не було захисту від автоматизованих атак. Що дозволяло спамити смс-ками на мобільні телефони. Подібні уразливості я знаходив на багатьох сайтах банка.

ПриватБанк тоді проігнорував ці уразливості, але через кілька років приховано виправив шляхом закриття сайта. Таким чином банк кинув мене, як це було з дірками на bonus.privatbank.ua та інших сайтах ПБ.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Grifus, Smart Google Code Inserter, WpJobBoard, Social Media Widget, CMS Tree Page View. Для котрих з’явилися експлоіти.

• WordPress Grifus 4.0.1 Cross Site Scripting (деталі)
• WordPress Smart Google Code Inserter SQL Injection (деталі)
• WordPress WpJobBoard 4.4.4 SQL Injection (деталі)
• WordPress Social Media Widget By Acurax 3.2.5 Cross Site Request Forgery (деталі)
• WordPress CMS Tree Page View 1.4 CSRF / Privilege Escalation (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Clean Up Optimizer, Booking Calendar, Concours, CSV Import-Export, Feed-Statistics. Для котрих з’явилися експлоіти.

• WordPress Clean Up Optimizer 4.0.0 SQL Injection (деталі)
• WordPress Booking Calendar 7.0 / 7.1 SQL Injection / Local File Inclusion (деталі)
• WordPress Concours 1.1 Cross Site Scripting (деталі)
• WordPress CSV Import-Export 1.1 Cross Site Scripting (деталі)
• WordPress Feed-Statistics 4.1 Open Redirect (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.