URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 121464
[ Назад ]

Исходное сообщение
"Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок"

Отправлено opennews , 02-Авг-20 10:59 
В WordPress-плагине wpDiscuz, который установлен на более чем 80 тысячах сайтов, выявлена опасная уязвимость, позволяющая без аутентификации загрузить любой файл на сервер. В том числе можно загрузить PHP-файлы и добиться выполнения своего кода на сервере. Проблеме подвержены версии с 7.0.0 по 7.0.4 включительно. Уязвимость устранена в выпуске 7.0.5...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53477


Содержание

Сообщения в этом обсуждении
"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 10:59 
Насколько я помню из своего опыта работы с вордпресс, в нем каждый второй плагин такой.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 03:29 
wp - самый активный запрос на серваках для пробития дыр

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Spoofing , 02-Авг-20 11:02 
одни и те же уязвимости, когда ещё в нулевых загружали на форумы аватарки с php-кодом.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 17:12 
Обучаемость - это не про пыхеров.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Вадик , 03-Авг-20 09:17 
Дело не в обучаемости. Многие просто не понимают а что такого. Ну возникнет проблема, будем фиксить, главное что работает!

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Alex_K , 02-Авг-20 11:08 
"при выполнении PHP-файлов интерпретатор игнорирует все части вне блоков "<?php""

Гупость написали :)
Вне этих блоков содержимое выводится в STDOUT.
Да еще и короткая форма <? прижилась.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено YetAnotherOnanym , 02-Авг-20 12:23 
> Вне этих блоков содержимое выводится в STDOUT

Как будто это помешает выполнить код внутри блока.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено НяшМяш , 02-Авг-20 16:33 
С такой особенности пыхи даже я только что офигел. Когда впервые мне показали пыху ещё в школе, я спросил "что это за кусок?". Чуйка моей пятой точки ещё ни разу не подводила меня.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 11:30 
Никогда такого не было и вот опять.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 02-Авг-20 12:21 
В старом анекдоте была такая фраза "евреи не жалейте заварки".

Стоит на сайт выделить чуть больший бюджет и сайт можно будет сделать не на WP а на Битрикс - в котором уже есть модуль "Проактивная защита" который физически не допустит подобных ситуаций. Кроме того Битрикс вообще как правило не нуждается в сторонних плагинах - всё нужное есть из коробки.

Итог: жадность порождает бедность!


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено YetAnotherOnanym , 02-Авг-20 12:28 
> на Битрикс

Тонко. Зачот.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 06:37 
Торгует им или кодит на нем.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 03-Авг-20 08:33 
Лавры Шерлока Холмса Вам не по плечу :)

1. Не торгую (моя работа вообще с IT  или Web-ом не связана.

2. Не программист ни разу, сайты не делаю.

Но у меня сайт на Битрикс (хобби для души - без какой-либо монетизации, рекламы, услуг и т.п.) про хрюш которых я люблю искренне и бескорыстно :)

Но я немного разбираюсь в "технологиях" и стараюсь быть в теме чтобы грамотно ТЗ уметь составлять.

Вроде бы получается - во всяком случае мой сайт ("тяжёлой" версии Эксперт плюс добавленный сложный функционал под капотом который снаружи не виден, но помогает мне в работе с сайтом) "быстрее" чем большинство сайтов на WP.

Можете сами проверить: https://www.babai.ru


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 13:04 
Раз не программист, тогда и нечего рассуждать.

По качеству кода Битрикс находится под тем же плинтусом, рядом с вордпрессом.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 03-Авг-20 13:18 
Снобизм свой поумерить не хотите ?

Да, не программист но хостмастером себя назвать вполне могу :)

Ну скажем в докaзательствльство:

Возьмём к примеру лучший сервис проверки tls - immuniweb (раньше назывался htbridge).

https://www.immuniweb.com/ssl/#about

"The following security experts helped us improve this free product:"

Первым в списке ваш покорный слуга :)


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено benu , 03-Авг-20 15:51 
Прикольные истории для малышков у вас. :)
https://www.babai.ru/video/ видео не открываются. FF 78.0.2

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 03-Авг-20 16:07 
1. Спасибо :) Вы сказки имеете ввиду ?

2. Странно - проверил - показывает в 79-ом. Может глюк какой у Ютуба ?


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 12:36 
Этот ваш битрикс никому кроме пары стран не нужОн. И даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет", а намного больший (пишу как человек, работающий с этим всем).

"как правило не нуждается в сторонних плагинах" - это также относится в категории "чуть больший бюджет". Там, где в вп можно поставить плагин и не заморачиваться, в бх зачастую придется искать прогера, который впилит этот функционал, или опять же покупать модуль (далеко не факт, что таковой найдется).

Никоим образом не защищаю вп, но предлагать бх как альтернативу, такое себе. Аксиома Эскобара в общем.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 02-Авг-20 12:40 
>Там, где в вп можно поставить плагин

Ну а потом что удивляться тому что взломали ?

Я же писал выше - жадность порождает бедность :)


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 14:14 
Вы пропустили последнее слово "вокруг".

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено пох. , 02-Авг-20 15:45 
> даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет",
> а намного больший

не будь лохом, найми исполнителя с другой из них - там по 500 ре работают и благодарят еще.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 12:39 
Полностью поддерживаю. Битрикс - это лучшее что доступно для разработки сайтов.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Michael Shigorin , 02-Авг-20 13:02 
Ну если у вас пошли такие "предложения", то упомяну TYPO3 -- оно не только поспорит с битриксом, а и свободное.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено cypa , 02-Авг-20 15:18 
Михаил, вот от вас я не ожидал такого пиара CMS на PHP+MySQL, ведь это принципиально неправильная архитектура для CMS, пихать в СУБД всё подряд, а потом мучительно оптимизировать и кэшировать - это просто извращения и перверсия, по 10 раз сериализировать данные просто чтобы тупо отдать их через http - неужели вы такое поддерживаете, Михаил?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Michael Shigorin , 03-Авг-20 11:39 
Сравнивают две CMS на PHP+[My]SQL, упомянул третью; Вы точно так же вправе назвать любой другой вариант, который считаете красивым и оптимальным, желательно по опыту. :)

Мне TYPO3 была вполне симпатична как проект, когда занимался созданием и поддержкой сайтов около osdn.org.ua (да, можно делать статическую вёрстку или статическую генерацию и при слэшдот-эффекте ровно это и спасло; только поддерживать такое я не был готов даже в две руки).  Это было лет пятнадцать-десять назад.

Сейчас предпочитаю с такими задачами обращаться к тогдашнему коллеге по участию в тех же переводах и исправлениях -- Валере Романчеву; его ttlab продолжил заниматься именно CMS и сайтостроением. (2 ыы: вот _теперь_ самое время подскакивать и повизгивать про пиар, а мы похлопаем :)

И что характерно, CMS всё так же развивается и работает.

Питоньи фреймворки и CMS "не зашли" (хотя это у меня, а тот же NauDoc представлял из себя "цельнодраный Plone", по словам cray@, который одно время тащил это всё в альте и перетаскивал на новые питоны).

Java-вые -- тоже (особенно с учётом того, что довольно долго *.linux.kiev.ua, включая ftp, www и lists, крутились вообще на одном Duron 800/512М с аккуратно разведённой кучкой дисков и vserver/ovz); хотя контакты с ребятами, которые умеют готовить ту же Alfresco, где-то наверняка остались.

PS re #24: а как у 1С с эльбрусами? (я-то знаю, как -- с Пухом вместе ещё "Ломоносова" строили, но раз набежали с козырей -- извольте)


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено InuYasha , 03-Авг-20 14:08 
Собирался ставить Друпал - он норм?
Хотел всё это подружить в ЛДАПом, но как-то оказалось пока чересчур мудрёно

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 15:57 
Как typo3 с кассами и эквайрингом?
У битрикса в комплекте идет.
Интеграции с crm и учетными системами?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 17:34 
>Интеграции с crm и учетными системами?

Самое главное - с 1С. Если этого нет, то рассматривать нельзя.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 13:09 
С какими такими кассами? Typo3 - это международный проект, если что. С чего бы местечковая российская специфика там должна быть в комплекте?

Плагины для всяких там Paypal-ов и всяких Zoho CRM конечно есть.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Satori , 03-Авг-20 21:20 
>Битрикс - это лучшее что доступно для разработки сайтов.

Нет. Лучшее - это прямые руки и фреймворк. Пусть и на пыхе.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено пох. , 02-Авг-20 15:14 
> Кроме того Битрикс вообще как правило не нуждается в сторонних плагинах - всё нужное есть из
> коробки.

ага, вот например тут речь шла о плагине для более-менее полноценного форума, где видно кто кому отвечал и о чем.

А что есть форум "из коробки" в битриксе, кроме дерьма на палочке? ОТОЖ. Причем форум не комментарий, и комментарий не форум - комментарии битрикса отдельны для каждого модуля (для некоторых их нет вообще) и каждый имеет свой нескучный интерфейс и убогую кастрированную функциональность, еще слабее чем их дерьмофорум.

При этом скока-скока захочет не безнадежно косорукий битриксопейсатель про заек, чтобы это все хоть как-то похоже было на работающее?


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 02-Авг-20 15:20 
1. Форум есть в Битриксе (функционал конечно так себе - Вы правы).

2. Если хочется нормальный форум то платить придётся как в WP так и в Битриксе.

3. Общий смысл моего поста Вы прекрасно поняли - если не пожалеть средств то из Битрикса можно сделать конфетку, а из WP никогда ибо суть его в сторонних плагинах.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено пох. , 02-Авг-20 15:28 
> Общий смысл моего поста Вы прекрасно поняли - если не пожалеть средств то из Битрикса можно
> сделать конфетку

ну дык дать деньгов wp-разработчику - тоже самое и будет. И может даже дешевле (хотя и неочевидно).
Может даже какой waf хоть на базе mod_security тебе поставит (чему доверия все же поболее битриксового встроенного и на пехепе).
А собирая из готовых модулей без ансамбля и не понимая как они работают - ну, получаешь что получаешь, затобесплатное.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 02-Авг-20 15:45 
Ну вот мы с Вами и сошлись во мнениях !

Просто из "коробки" Битрикс:

А) Для "обычной" работы сайта не требует плагинов
Б) С включённым по умолчанию модулем "Проактивная защита" уже безопаснее чем WP.

Разумеется спец может и там и там настроить грамотно. К примеру у меня Битрикс но Проактивная защита отключена и стоит mod_security, но повторюсь для "обычных" владельцев "обычных" сайтов Битрикс намного надёжнее чем WP что и подтверждает эта новость которую мы обсуждаем.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено istepan , 03-Авг-20 07:44 
🤮

Все кого знаю из пользователей Битрикса так же хотели "заплатить и забыть". В итоге через время все (именно все) жалели о потраченных деньгах.
Половина наняла толкового разработчика или команду, и переписали свои сервисы на нормальных фреймворках. Остальные довольствовалась тем что получили, изредка доплачивая 100500 деревянных за мелкие доработки, тогда как при нормальной разработке на нормальных продуктах эти же правки стоили бы копейки и буквально минуты времени программистов и прочих верстальщиков (есть десятки примеров из личного опыта).

Ах, да. Ещё разработка сайта на битриксе в студиях обойдется не дешевле, а то и дороже, и качество будет очень сомнительное. Так как в студиях часто нет компетентных разработчиков, ибо в Битриксом нормальные программисты не хотят связываться, а если связываются, то только за доплату 100500 тех же деревянных денег.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено suffix , 03-Авг-20 08:05 
Либо:

1. Все ваши знакомые владеют проектами с посещаемостью сотни тысяч в день.

2. Но скорее всего не умеют искать нормальных исполнителей / составлять нормальное ТЗ / жадные до расходов на программистов.

Да, Битрикс надо уметь готовить. Но я же писал не об этом - Битрикс вот прямо из коробки без сторонних плагинов намного функциональное чем WP (тоже без сторонних плагинов) и соответственно и намного безопаснее - что данная новость и подтверждает!


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 12:27 
Хмм. Имел опыт в оптимизации плагина (разрабатывал его не я) для последующей публикации на wordpress.org, так их ревьюеры такую простыню по безопасности выкатили: и ввод чисть, и права на доступ к этому функционалу проверяй, и еще много чего другого. И все это через стандартный функционал вп. Проверяют же плагины, а все равно вп - решeто в плане безопасности.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 13:39 
Зачем вообще пользовательские файлы смешивать с кодом сайта (код сайта пропускается через интерпретатор, а пользовательские данные вообще обрабатываться не должны, а должны просто отдаваться с минимальным оверхедом)?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено пох. , 02-Авг-20 15:30 
> Зачем вообще пользовательские файлы смешивать с кодом сайта

для дерьмохостингов, у которых вообще все файлы - "код сайта".

Отдельными настройками "тут играем, тут рыбу заворачивали" - никто париться не будет, все равно типовому юзеру не поможет.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 16:34 
.htaccess, не?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено пох. , 02-Авг-20 17:30 
полож на место имя моей аватарки!

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Анон1212 , 02-Авг-20 14:43 
Никогда не было и вот опять

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 02-Авг-20 20:06 
как в wordpress запретить показывать какие плагины используются?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено BlackRot , 02-Авг-20 20:48 
Никак.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено InuYasha , 03-Авг-20 14:33 
я правильно понимаю что там небинарные php-файлы, которые можно изменять по своему усмотрению? или там настолько анальная лицензия что за админом смотрит party van?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено BlackRot , 03-Авг-20 22:16 
Правильно понимаете. Всё открыто, можете редактировать что угодно на своё усмотрение.

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено FlatFile CMS , 02-Авг-20 20:54 
Не использовать wordpress?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено BlackRot , 03-Авг-20 08:08 
Или зашифровать вообще всё

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено istepan , 03-Авг-20 07:59 
Хахаха, классика котссигаретой.джпг

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено BlackRot , 03-Авг-20 08:10 
Это да. Сам движок если и появляется какая то уязвииость фиксится в считанные минуты, а вот плагины это отдельная история

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 08:11 
Жопаболь блоггеров?

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 13:00 
"Уязвимость вызвана недоработкой в коде проверки загружаемых типов файлов, используемом для прикрепления изображений к комментариям."

А кто-нибудь подскажет зачем таким файлам права на исполнение? ведь если он с 644, то интерпретатор его не должен выполнять вне зависимости от его содержимого.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 14:59 
> если он с 644, то интерпретатор его не должен выполнять

Это же пыхпых...


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 20:23 
> ведь если он с 644, то интерпретатор его не должен выполнять

А это и не интерпретатор, это препроцессор гипертекста. Так что выполняет всё подряд.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено InuYasha , 03-Авг-20 14:14 
"Сколько лет служу, а <s>пароль</s>проблема не меняется"

ЧСХ, быд..сообщество ПХП отвергло инициативу P++ год назад.


"Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."
Отправлено Аноним , 03-Авг-20 15:17 
Да сколько уже дыр в этих плагинах, теперь по каждому новость писать?