15 червня 2020 року команда Threat Intelligence дізналась про ряд вразливостей, що було викрито в плагіні KingComposer. Це плагін для WordPress, що встановлено на понад 100 000 сайтах. Під час дослідження цих уразливостей виявили незахищену вразливість міжсайтового сценарію (XSS).
Після кількох спроб зв’язатися з розробниками плагіна – це вдалося, і розробники випустили оновлення 29 червня 2020 року.
Як може бути використана така вразливість? Наприклад, якщо ви адміністратор сайту, який увійшов на вразливий сайт, то певний вбудований через вразливість JavaScript може бути використаний для створення нового “шкідливого” облікового запису адміністратора, який контролюється зловмисником.
Ще цікаве:
Безкоштовні шаблони для WordPress
Ви придбали хостинг або тільки вирішили розпочати створення сайту для себе чи своєї справи? Ми спробуємо дещо полегшити вам задачу. Наша пропозиція З кожним замовленням хостингу, що оплачено на рік чи оплачувалось більше року, ви отримаєте невеличкий корисний сюрприз – встановлення шаблону для вордпрес на ваш новий сайт за усіма налаштуваннями, що ви побачите на демо цього шаблону. Таким чином, […]
Детальніше
Хакери масово атакують сайти WooCommerce через уразливість у плагіні Wholesale Lead Capture
Злочинці активно експлуатують критичну уразливість у популярному плагіні Wholesale Lead Capture для WooCommerce (WordPress). Проблема дозволяє зловмисникам завантажувати довільні файли на сервер без необхідності проходження автентифікації. У чому суть уразливості (CVE-2026-27540)? Вразливість отримала ідентифікатор CVE-2026-27540 та високий рейтинг небезпеки — 9.8 із 10 за шкалою CVSS. Головна причина проблеми — відсутність належної перевірки типів файлів під час обробки завантажень через […]
Детальніше
Критична вразливість All-in-One WP Migration: під загрозою понад 5 млн сайтів WordPress
Ця стаття має на меті попередити вас про CVE-2026-19949 — критичну вразливість типу SQL Injection у популярному плагіні All-in-One WP Migration and Backup для WordPress. Проблема зачіпає версії 7.109 і нижче та може бути використана неавторизованим зловмисником через функцію відновлення сайту з архіву. Розробник уже випустив виправлення. Користувачам плагіна рекомендується якнайшвидше оновити All-in-One WP Migration до версії 7.110 або новішої. […]
Детальніше