Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах sermon-shortcodes, hwm_board, User Spam Remover, Delme, Advanced Custom Fields. Для котрих з’явилися експлоіти.

• WordPress sermon-shortcodes 1.0 Arbitrary File Download (деталі)
• WordPress hwm_board 1.0 Arbitrary File Disclosure (деталі)
• WordPress user-spam-remover 1.0 Database Disclosure (деталі)
• WordPress Delme 3.0 Database Disclosure (деталі)
• WordPress Advanced Custom Fields 5.7.7 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023 та за 30.01.2023-05.02.2023. Це нові дані.

В лютому:

Другий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3XcTfvg.
Українські Кібер Війська щодня виявляють російські МТ-ЛБ та іншу військову техніку в Донецьку https://bit.ly/3jFqIRq.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3DNrrHe.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3HNPxTk.
Українські Кібер Війська заблокували 320 сайтів терористів https://bit.ly/40KKQSM.
Українські Кібер Війська виявили супутникові дані польотів російських літаків в Україні https://bit.ly/3xz0V0N.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3RTOq99.
Закрив акаунт Олега Царьова в Facebook https://bit.ly/3RUeEZ2.
Українські Кібер Війська заблокували 320 сайтів терористів https://bit.ly/3YrynSo.
Українські Кібер Війська записали полковника терористів в Алчевську https://bit.ly/3lxBQAd.

У серпні, 03.08.2023, вийшли PHP 8.0.30, PHP 8.1.22 і PHP 8.2.9. У версії PHP 8.0.30 виправлено дві уразливості, у всіх інших версіях виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.0.x, 8.1.x і 8.2.x.

У PHP 8.0.30, 8.1.22 і 8.2.9 виправлено:

• Численні вибивання.
• Пошкодження пам’яті.
• Витоки пам’яті в Intl та FTP.
• XML External Entity (XXE) уразливість.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://voting.opishne-museum.gov.ua (хакерами з Family Attack Cyber) - 18.08.2023 - похаканий державний сайт
• https://knigozbirnia.opishne-museum.gov.ua (хакерами з Family Attack Cyber) - 18.08.2023 - похаканий державний сайт
• https://bygaga.com.ua (хакером Rayzky) - 26.01.2024
• http://uwtech.knuba.edu.ua (хакером KingSkrupellos) - 20.04.2024
• http://kyivskizbirnyky.org.ua (хакером KingSkrupellos) - 23.04.2024

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023 та за 23.01.2023-29.01.2023. Це нові дані.

В лютому:

Перший тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3HnOZDd.
Українські Кібер Війська щодня виявляють російські гради та іншу військову техніку в Донецьку https://bit.ly/3HoCk2V.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3Rlt0l7.
Відео-розвідка: УКВ знову виявили, як росіяни висилають поштою бронежилети мобілізованим https://bit.ly/3HsxD8y.
Українські Кібер Війська заблокували 320 сайтів терористів https://bit.ly/3HS8i9q.
Українські Кібер Війська виявили гео-локацію російської військової бази в Покровське https://bit.ly/3ju5Kor.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3HxDwBe.
Відео-розвідка: УКВ записали військову техніку в Керчі https://bit.ly/3Y6ZWR0.
Українські Кібер Війська отримують докази 9 років, як окупанти вивозять наших дітей в Росію https://bit.ly/3Rw2GVv.
Українські Кібер Війська заблокували 320 сайтів терористів https://bit.ly/3JN7GDv.

В даній добірці експлоіти в веб додатках:

• Osprey Pump Controller v1.0.1 - Unauthenticated Reflected XSS (деталі)
• Osprey Pump Controller 1.0.1 - Authentication Bypass Credentials Modification (деталі)
• Osprey Pump Controller 1.0.1 - Cross-Site Request Forgery (деталі)
• Unified Remote 3.13.0 - Remote Code Execution (RCE) (деталі)
• WIMAX SWC-5100W Firmware V(1.11.0.1 :1.9.9.4) - Authenticated RCE (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Absolutely Glamorous Custom Admin, Pods, Easy Testimonials, Yoast SEO, allow-l10n-upload-filename. Для котрих з’явилися експлоіти.

• WordPress Absolutely Glamorous Custom Admin 6.4.1 Database Disclosure (деталі)
• WordPress Pods 2.7.9 Database Disclosure (деталі)
• WordPress Easy Testimonials 3.2 Cross Site Scripting (деталі)
• WordPress SEO (Yoast SEO) 9.1 Race Condition / Command Execution (деталі)
• WordPress allow-l10n-upload-filename 1.0 Arbitrary File Download (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Russian occupant sends robbed from Ukraine at post in Belgorod - УКВ записали як окупант висилає награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Russian occupants send robbed from Ukraine at post in Belgorod - УКВ записали як окупанти висилають награбоване в Україні на пошті в Бєлгороді.

Russian occupant sends robbed from Ukraine at post in Bryansk - УКВ записали як окупант висилає награбоване в Україні на пошті в Брянську.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://journal.dntb.gov.ua (хакером KingSkrupellos) - 09.08.2023 - похаканий державний сайт
• https://smorzh.opishne-museum.gov.ua (хакерами з Family Attack Cyber) - 09.08.2023 - похаканий державний сайт
• https://setsushi.com.ua (хакером M@rAz Ali) - 15.09.2023
• https://fggroup.org.ua (хакером EFETR) - 13.01.2024
• https://okan.com.ua (хакерами з StucxnetCrewMalaysia) - 22.01.2024

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023 та за 16.01.2023-22.01.2023. Це нові дані.

У січні:

Четвертий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3Jdij28.
Українські Кібер Війська щодня виявляють російські МТ-ЛБ та іншу військову техніку в Донецьку https://bit.ly/3R3SLpM.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3wv1M1S.
Відео-розвідка: УКВ виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/3WGZc3i.
Українські Кібер Війська заблокували 320 сайтів терористів https://bit.ly/3XZaOjl.
Українські Кібер Війська виявили гео-локацію російської військової бази в Стаханові https://bit.ly/3jghj2o.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3wApYjd.
Відео-розвідка: УКВ виявили російських солдатів і поліцейських в Алупці https://bit.ly/3HIH0Cs.