SOS :: Security Operation Space
16 сентября, понедельник, 00:00
|
Hot News:

Баг в WP Live Chat Support позволяет манипулировать чатами

13 июня 2019 г., четверг, 14:53

Уязвимость позволяет неавторизованным злоумышленникам получать историю переписки и управлять текущими сессиями чатов.

ИБ-исследователи из Alert Logic обнаружили уязвимость в WordPress-плагине WP Live Chat Support. Баг позволяет неавторизованным злоумышленникам получать историю переписки с клиентами и управлять текущими сессиями чатов. Под угрозой оказались более 50 тыс. веб-сайтов, на которых уязвимый плагин используется для общения с посетителями. Администраторам ресурсов рекомендуется срочно обновить WP Live Chat Support.

Проблема возникает из-за некорректного процесса валидации данных пользователей. Ошибка в функции wplc_api_permission_check () позволяет преступникам без дополнительных привилегий и авторизации на веб-сайте получить доступ к конечным точкам REST API. Потенциальные злоумышленники могут воспользоваться этим багом, чтобы извлечь логи переписки, а также редактировать и вставлять сообщения в текущие сессии чатов. Таким образом они могут выдавать себя, например, за сотрудников компаний.

Исследователи из Alert Logic не обнаружили случаев эксплуатации уязвимости и считают, что она вряд ли активно использовалась преступниками. Ошибка наблюдается в 8.0.32 и более ранних версиях плагина. Эксперты сообщили о ней разработчикам 29 мая 2019 года, и уже через три дня создатели плагина выпустили обновление 8.0.33, в котором проблема была устранена.

Несмотря на то, что для исправления бага администраторам сайтов достаточно обновить плагин до более новой версии, киберпреступники могут использовать информацию об ошибке для атак на непропатченные веб-ресурсы.

Месяц назад аналитики из компании Sucuri нашли в WP Live Chat Support другую опасную уязвимость. Она позволяла неавторизованным злоумышленникам проводить XSS-атаки и внедрять вредоносный код на все страницы сайтов, где используется расширение. Вскоре после публикации информации о баге исследователи из ZScaler обнаружили первые попытки его эксплуатации. Злоумышленники внедряли на уязвимые сайты скрипт, который перенаправлял жертв на мошеннические веб-ресурсы, вызывал всплывающие окна и поддельные формы подписки на платные услуги.

Ваш голос учтён!
нравится
не нравится Рейтинг:
0
Всего голосов: 0
Комментарии

Добавить комментарий к новости

Ваше имя: *
Сообщение: *
Нет комментариев
06:24
14:40
14:15
13:15
11:15
09:15
08:15
07:15
06:15
06:03
17:36
16:23
13:15
12:15
10:15
09:54
09:15
07:15


© 2013—2019 SOS :: Security Operation Space (Пространство Операций Безопасности)  // Обратная связь  | 0.325
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.