forum.opennet.ru - "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." (38)

"В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
Сообщение от opennews (ok), 09-Июл-18, 23:19
Опубликован (https://wordpress.org/news/2018/07/wordpress-4-9-7-security-.../) корректирующий выпуск системы управления web-контентом WordPress 4.9.7, в котором устранены две (https://www.wordfence.com/blog/2018/07/details-of-an-additio.../) уязвимости (https://blog.ripstech.com/2018/wordpress-file-delete-to-code.../), при помощи которых можно удалить произвольные файлы на сервере, насколько позволяют права доступа пользователя, под которым выполняется WordPress. Например, в ходе атаки можно удалить файл wp-config.php и инициировать процесс установки нового экземпляра WordPress при следующем открытии сайта, в ходе которой атакующий может завести новый аккаунт администратора WordPress, при помощи которого можно запустить произвольный PHP-код на сервере. Для эксплуатации обеих уязвимостей атакующий должен иметь привилегии автора публикаций (Author) в WordPress. Уязвимости вызваны передачей в функцию unlink() имени файла, сформированного на основе переданных пользователем внешних параметров, не очищенных должным образом (например, можно указать "../../wp-config.php"). В частности данная функция вызывается для удаления эскизов изображений, при инициировании удаления приложенной к публикации картинки. URL: https://www.wordfence.com/blog/2018/07/details-of-an-additio.../ Новость: https://www.opennet.dev/opennews/art.shtml?num=48933
Ответить \| Правка \| Cообщить модератору

Оглавление

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., demimurych (ok), 23:45 , 09-Июл-18, (2) +2
В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Сергей (??), 23:52 , 09-Июл-18, (3) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (5), 00:05 , 10-Июл-18, (5)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (6), 00:12 , 10-Июл-18, (6) –2

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., KonstantinB (ok), 00:21 , 10-Июл-18, (8) +2

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (12), 01:38 , 10-Июл-18, (12) +5

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., iCat (ok), 07:03 , 10-Июл-18, (15)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (-), 07:18 , 10-Июл-18, (18) –2

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., iCat (ok), 09:14 , 10-Июл-18, (21) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (42), 18:36 , 14-Июл-18, (42)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., нах (?), 10:46 , 10-Июл-18, (24) +1
В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Попугай Кеша (?), 11:09 , 10-Июл-18, (26) –1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (20), 08:28 , 10-Июл-18, (20)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., нах (?), 11:52 , 10-Июл-18, (28) +2

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Адекват (ok), 08:20 , 10-Июл-18, (19) +2

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., 1 (??), 10:27 , 10-Июл-18, (23) –1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноне (?), 11:48 , 10-Июл-18, (27)
В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним84701 (ok), 12:35 , 10-Июл-18, (31) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., 1 (??), 13:52 , 10-Июл-18, (33)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., . (?), 14:08 , 10-Июл-18, (34)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., istepan (ok), 07:47 , 11-Июл-18, (40)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., KonstantinB (ok), 00:17 , 10-Июл-18, (7) +3
В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., анонсим (?), 00:58 , 10-Июл-18, (10) +5

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Попугай Кеша (?), 17:05 , 10-Июл-18, (36)
В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., istepan (ok), 07:48 , 11-Июл-18, (41)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (13), 05:32 , 10-Июл-18, (13) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (29), 12:08 , 10-Июл-18, (29) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., пох (?), 07:08 , 10-Июл-18, (16) +7

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., lurkr (?), 12:11 , 10-Июл-18, (30)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., анонсим (?), 19:27 , 10-Июл-18, (37) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (5), 00:03 , 10-Июл-18, (4) –3

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Stax (ok), 00:36 , 10-Июл-18, (9)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., нах (?), 10:47 , 10-Июл-18, (25)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Kuromi (ok), 01:25 , 10-Июл-18, (11) +6

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Аноним (14), 05:43 , 10-Июл-18, (14) +1

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., пох (?), 07:15 , 10-Июл-18, (17) +6

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., Michael Shigorin (ok), 22:00 , 10-Июл-18, (38)

В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..., ox (?), 09:36 , 10-Июл-18, (22)

Сообщения по теме [Сортировка по времени | RSS]

2. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +2 +/–

Сообщение от demimurych (ok), 09-Июл-18, 23:45

Интересно, это тянутся проблемы вордпресса новых лет, или это уже неофиты наделали красаты?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от Сергей (??), 09-Июл-18, 23:52

Почему именно в php и проектах на нем, пачками вскрываются уязвимости, причем очень глупые

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Аноним (5), 10-Июл-18, 00:05

WordPress - MVC, DDoS через СУБД, нет нормального подавления при авторизации в адаминке брута и других прелестей
Я хоть и не ЗА ПХП топлю, но язык тут не совсем и виноват. WordPress хуже разработать по действием MVC невозможно!

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

6. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." –2 +/–

Сообщение от Аноним (6), 10-Июл-18, 00:12

Язык таки тоже виноват. Уж больно по ногам стрелять хорошо. Ну и легаси код, конечно, в немалой степени.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

8. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +2 +/–

Сообщение от KonstantinB (ok), 10-Июл-18, 00:21

unlink(filename) можно сделать в любом языке.
Тут скорее легаси другого рода - привычка php-разработчиков со времен дешевых shared-ов мешать в одну кучу код приложения и пользовательские upload-ы. В случае же WP - даже если и разнесешь по разным uid, пользователи этого самого WP первыми разноются, что у них обновление кода кнопочкой из админки не работает.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

12. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +5 +/–

Сообщение от Аноним (12), 10-Июл-18, 01:38

> пользователи этого самого WP первыми разноются, что у них обновление кода кнопочкой из админки не работает
Нужно просто волевым усилием принять решение, что виноваты пользователи (читай: владельцы сайтов), а не программисты, и прекратить всем рассказывать, что php плохой. Не будет спроса - не будет и предложения. А то, что пользователям проще взять дырявое, небезопасное но зато дешёвое, чем платить за нормальный продукт, - это уже их личный осознанный выбор. Выбор между "взять наиболее разрекламированное" и "потратить время и разобраться, что лучше, а то и своего программиста нанять" - тоже осознанный. Так что не вижу причин для ненависти к чему/кому бы то ни было. Каждый получил то, на что согласился.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

15. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от iCat (ok), 10-Июл-18, 07:03

Не споров ради, а из природной любознательности: а что автор может посоветовать для создания мелкого сайта? (Джумлу, ВордПресс и Битрикс лучше даже не упоминать)

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

18. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." –2 +/–

Сообщение от Аноним (-), 10-Июл-18, 07:18

маркдаун

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

21. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от iCat (ok), 10-Июл-18, 09:14

> маркдаун
Серьёзно? Это не CMS, это язык разметки.
Отчего тогда не C, не C++, не perl, не java?

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

42. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Аноним (42), 14-Июл-18, 18:36

Потому что ни С, ни С++, ни перл, ни даже ява - не являются языками разметки.
Ваш КО.

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

24. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от нах (?), 10-Июл-18, 10:46

а что такое мелкий сайт и нужна ли ему вообще-то - cms? (может ему нужна автосайтобилдилка только?)
если нужна - мелкий, немелкий, но контент надо обновлять регулярно, и не редактируя через пуссиэкзе html файлик православным vim'ом - хрен ты куда с подводной лодки-то денешься.
следующий вопрос - а денег-то мы будим платить? А то вон есть знакомые, которые с удовольствием выпилят на какой-нибудь yi, но это ж фреймворк, cms на нем еще написать надо суметь.
а если неохота - то остается только вротпресс да дрюпалка.
"оба хуже".

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

26. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." –1 +/–

Сообщение от Попугай Кеша (?), 10-Июл-18, 11:09

Возьмите сервис и не насилуйте мозги - Medium, например. Или что-то в этом духе.
Или статический генератор сайтов. GitHub Pages еще был.

Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

20. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Аноним (20), 10-Июл-18, 08:28

WordPress и рассчитан на дешевые шареды. Они php 5.3 поддерживаю до сих пор

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

28. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +2 +/–

Сообщение от нах (?), 10-Июл-18, 11:52

на дешевых шаредах мы как раз НЕ поддерживаем ваше "5.3", у нас вообще одна единственно-верная версия, пришедшая с дистрибутивом, на котором построено - зоопарк требует недешевого времени админа, а у нас денег нет. И сегодня это 7.2
А вот как раз у селф-хостеров, у которых админ давно уже лежит на кладбище, успешно оплаканный и забытый чадами и домочадцами, или просто свалил в туманную даль, получив денег за установку в 2005м году - вполне может быть 5.3, и апгрейдить его они просто не умеют (и умея заманаешься).
А wp апгрейдится у них полуавтоматически, кнопкой "поапгрейдить", а то и вовсе автоматом (правда, его надо включить, в 2005м еще не было такого) - и, что удивительно, все еще работает.
Кстати, bitrix, п-сы, сломали - "с 1 января мы поддерживаем только семерку". И плевать - что за деньги ло...пользователя, которому она нахрен не нужна, как и платить еще кому-то за апгрейд сервера. (и даже поставить последний до-январский апдейт они не могут - не предусмотрена такая сложная технология - апдейт бывает только один, самый наираспоследний, кто в декабре не успел - тот лошара, попал на бабки и глюки).

Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

19. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +2 +/–

Сообщение от Адекват (ok), 10-Июл-18, 08:20

Я конечно дико извиняюсь, но в СИ по ногам гораздо больше способов выстрелить, а в bash так вообще - чтобы не выстрелить нужно очень сильно постараться.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

23. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." –1 +/–

Сообщение от 1 (??), 10-Июл-18, 10:27

там порог вхождения выше (как лицензию на пушку получить).

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

27. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Аноне (?), 10-Июл-18, 11:48

Не понимаю про порог, сам язык то простой, даже без ООП (да и С++ не сложнее). В PHP больше всего и вся, в ширину так сказать, и никто не мешает использовать типы и указатели.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

31. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от Аноним84701 (ok), 10-Июл-18, 12:35

> там порог вхождения выше (как лицензию на пушку получить).
Просто немодно стало.
У перловки порог вхождения как бы не ощутимо выше, что абсолютно не мешало ей когда-то быть очень популярным ЯП для вебразработки – в основном методом ненаучного тыка и копипасты,  а не "освоением ЯП на должном уровне".
С местной "священной коровой", субъективно, все примерно так же – когда-то написать пару софтин на Си было "типа мастхев".  С помощью копипасты и форумов (stackoverflow тогда еще не было) оно кое-как подгонялось под тот самый сценарий, который продумал "горе-погромист", но шаг влево, шаг вправо - корка.
В общем, порог вхождения как "фильтр дураков" в целом (для ЯП) и для Си в частности – сильно преувеличен.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

33. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от 1 (??), 10-Июл-18, 13:52

Неее ... С ж скомпилять надо ... Да ещё компилятор на тебя ругается - а потом ещё и ошибка выполнения ... Поотлаживать как ? printf во все поля ? А если файлов в проекте больше 3х ?
Про perl согласен. Он и популярен был, так как интерпретатор.

Ответить | Правка | ^ к родителю #31 | Наверх | Cообщить модератору

34. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от . (?), 10-Июл-18, 14:08

> Поотлаживать как ? printf во все поля ? А если файлов в проекте больше 3х ?
и чем тут тот же перл проще? У которого еще и printf может выдавать совсем не то, что ожидается, если перепутан скаляр и комплексный тип. А php? И лет turbo debugger изрядно побольше, нежели вашему phpstorm.
> Про perl согласен. Он и популярен был, так как интерпретатор.
вы и перл, похоже,только на картинке видали. Он как бы не совсем интерпретатор, не bash какой, чай, и тоже умеет выдать ошибку и на этапе предварительного парсинга, и на этапе выполнения отдельно. И при удаче еще и в core можно выпасть, если совсем уж "повезло".

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

40. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от istepan (ok), 11-Июл-18, 07:47

Какой порог, батюшка?!
Забыл как в 90-е cgi поголовно ломали? Про 0day вообще молчу.

Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

7. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +3 +/–

Сообщение от KonstantinB (ok), 10-Июл-18, 00:17

Потому что на php написано на порядок больше веб-приложений, чем на любом другом языке.
Плюс низкий порог входа, позволяющий что-то даже работающее запрограммировать полному нубу.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

10. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +5 +/–

Сообщение от анонсим (?), 10-Июл-18, 00:58

Неофиты косорукие потому что. В питоне, например, это не так заметно, но то, что делают некоторые падаваны, заставляет волосы на коленках шевелиться. И это системная проблема, проблема курсов "за 5 минут", "10 способов" и прочего подобного кала, нито не хочет вникать и учиться.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

36. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Попугай Кеша (?), 10-Июл-18, 17:05

А зачем? учиться тяжело хомячкам

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

41. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от istepan (ok), 11-Июл-18, 07:48

Благодаря этим курсам, спецов начинают больше ценить.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от Аноним (13), 10-Июл-18, 05:32

> Почему именно в php и проектах на нем, пачками вскрываются уязвимости, причем
> очень глупые
Лкчше спроси, покрыт ли этот участок кода тестами.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

29. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от Аноним (29), 10-Июл-18, 12:08

Чтобы покрыть потенциальную дыру с ../.. тестом, нужно о ней знать ¯\_(ツ)_/¯

Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

16. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +7 +/–

Сообщение от пох (?), 10-Июл-18, 07:08

не потому, что ты не умеешь ни на чем другом?
Пока обезьянки умели перл - были уязвимости, скажем, wwwthreads написанной на перле, по штуке в месяц.
Когда перлу разучились окончательно - ее кое-как спортировали на php. Правильно - уязвимости наличествовавшие в перловой версии - внезапно, оказались общими и для phpшной, поскольку обезьянка как не умела правильно обрабатывать user input, так и не научилась.
сейчас обезьянки массово потянулись кто на пихон, кто на игого - нате вам пачку дыр в джанге, на православнейшем пихоне.
в игогошечьке тоже будут, ждем. Они там должны быть интересные, в миллионах цепочечных зависимостей, так чтобы один глупый ляп затронул сразу все проекты, даже те, авторы которых и знать об этом не знают.
А вот в проектах на том же tcl - дыры редкость. Потому что во-первых, проектов нет, во-вторых, вы ж и прочитать-то его не умеете, а значит и дыры искать можете только методом тыка.
А в пехепешном коде можно подходящие места прямо grep'ом...хотя да, grep вы тоже не умеете, ну ладно, запилите себе автоматическую искалку с зачатками ИИ на go.

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

30. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от lurkr (?), 10-Июл-18, 12:11

Спасибо, ох как хорошо написал, жму руку.

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

37. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от анонсим (?), 10-Июл-18, 19:27

вот почти как я написал, только развёрнуто :)
школота всегда считает, что если питон-жанга/руби-рор, то они прям защищены ото всего, там дяди Д'Артаньяны умные подумали за них в отличие от мерзкого пехапе, где одни *расы.

Ответить | Правка | ^ к родителю #30 | Наверх | Cообщить модератору

4. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." –3 +/–

Сообщение от Аноним (5), 10-Июл-18, 00:03

Переходите на Flat-File CMS: Grav/Gantry 5, OctoberCMS, Bolt, CraftCMS, PicoCMS, HTMLy
и другие https://www.staticgen.com

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Stax (ok), 10-Июл-18, 00:36

Хм. А в интернете на каждом углу баннеры, что вместо Wordpress давно пора брать некую Duda. Может неспроста?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

25. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от нах (?), 10-Июл-18, 10:47

это для "ди6ильных приложений" и ди6илов, которые их используют
так что да, неспроста.

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +6 +/–

Сообщение от Kuromi (ok), 10-Июл-18, 01:25

О, да в новости не описано самое интересное (по второй ссылке, blog.ripstech.com) - уязвимость была заявлена разработчику более полугода тому назад, после чего разработчики очень вяло отвечали на запросы нашедшего уязвимость и заявили, что на выпуск патча потребуется 6 месяцев. За более чем  6 месяцев так ничего и не выпустили, информацию о уязвимости опубликовали и вот спустя полторы недели появился патч.
Ответственный хакинг, белые шляпы и все такое, результаты наглядны.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +1 +/–

Сообщение от Аноним (14), 10-Июл-18, 05:43

Вот на это - https://github.com/WordPress/WordPress/commit/b564da95fb41ab... - 6 месяцев?
Нуууу ооок.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

17. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +6 +/–

Сообщение от пох (?), 10-Июл-18, 07:15

ну а чего не так? там код написан, а не одна строка поправлена. Пейсателей явно осталось полтора человека - остальные подались в разработчики (платных) плагинов, жрать охота. В общем и целом даже и почти разумный код, если б не одно но: а скажите мне, дорогие пейсатели - а зачем у вас вообще возможна ситуация, когда юзерский файл на диске есть, а в базе нет записи, что это и откуда оно взялось?
Вот каким местом вы думаете, когда пишете код, отвечающий за upload?
Если бы у вас на каждый файл была запись - вам не надо было бы проверять в ста местах, где он лежит - хоть в C:\
А заодно и очистка мусора упростилась бы в разы. Но нет, мы будем героически бороться с \\name\share (кстати, почему это я не могу ее подставить как помойку для вротпресса?)

Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

38. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от Michael Shigorin (ok), 10-Июл-18, 22:00

Спасибо, занятное дополнение.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

22. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..." +/–

Сообщение от ox (?), 10-Июл-18, 09:36

Те ещё писунЫ

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+2 +/–
Сообщение от demimurych (ok), 09-Июл-18, 23:45
Интересно, это тянутся проблемы вордпресса новых лет, или это уже неофиты наделали красаты?
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору

3. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
Сообщение от Сергей (??), 09-Июл-18, 23:52
Почему именно в php и проектах на нем, пачками вскрываются уязвимости, причем очень глупые
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	5. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от Аноним (5), 10-Июл-18, 00:05
	WordPress - MVC, DDoS через СУБД, нет нормального подавления при авторизации в адаминке брута и других прелестей Я хоть и не ЗА ПХП топлю, но язык тут не совсем и виноват. WordPress хуже разработать по действием MVC невозможно!
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	6. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	–2 +/–
	Сообщение от Аноним (6), 10-Июл-18, 00:12
	Язык таки тоже виноват. Уж больно по ногам стрелять хорошо. Ну и легаси код, конечно, в немалой степени.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	8. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+2 +/–
	Сообщение от KonstantinB (ok), 10-Июл-18, 00:21
	unlink(filename) можно сделать в любом языке. Тут скорее легаси другого рода - привычка php-разработчиков со времен дешевых shared-ов мешать в одну кучу код приложения и пользовательские upload-ы. В случае же WP - даже если и разнесешь по разным uid, пользователи этого самого WP первыми разноются, что у них обновление кода кнопочкой из админки не работает.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	12. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+5 +/–
	Сообщение от Аноним (12), 10-Июл-18, 01:38
	> пользователи этого самого WP первыми разноются, что у них обновление кода кнопочкой из админки не работает Нужно просто волевым усилием принять решение, что виноваты пользователи (читай: владельцы сайтов), а не программисты, и прекратить всем рассказывать, что php плохой. Не будет спроса - не будет и предложения. А то, что пользователям проще взять дырявое, небезопасное но зато дешёвое, чем платить за нормальный продукт, - это уже их личный осознанный выбор. Выбор между "взять наиболее разрекламированное" и "потратить время и разобраться, что лучше, а то и своего программиста нанять" - тоже осознанный. Так что не вижу причин для ненависти к чему/кому бы то ни было. Каждый получил то, на что согласился.
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	15. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от iCat (ok), 10-Июл-18, 07:03
	Не споров ради, а из природной любознательности: а что автор может посоветовать для создания мелкого сайта? (Джумлу, ВордПресс и Битрикс лучше даже не упоминать)
	Ответить \| Правка \| ^ к родителю #12 \| Наверх \| Cообщить модератору


	18. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	–2 +/–
	Сообщение от Аноним (-), 10-Июл-18, 07:18
	маркдаун
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	21. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от iCat (ok), 10-Июл-18, 09:14
	> маркдаун Серьёзно? Это не CMS, это язык разметки. Отчего тогда не C, не C++, не perl, не java?
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	42. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от Аноним (42), 14-Июл-18, 18:36
	Потому что ни С, ни С++, ни перл, ни даже ява - не являются языками разметки. Ваш КО.
	Ответить \| Правка \| ^ к родителю #21 \| Наверх \| Cообщить модератору


	24. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от нах (?), 10-Июл-18, 10:46
	а что такое мелкий сайт и нужна ли ему вообще-то - cms? (может ему нужна автосайтобилдилка только?) если нужна - мелкий, немелкий, но контент надо обновлять регулярно, и не редактируя через пуссиэкзе html файлик православным vim'ом - хрен ты куда с подводной лодки-то денешься. следующий вопрос - а денег-то мы будим платить? А то вон есть знакомые, которые с удовольствием выпилят на какой-нибудь yi, но это ж фреймворк, cms на нем еще написать надо суметь. а если неохота - то остается только вротпресс да дрюпалка. "оба хуже".
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	26. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	–1 +/–
	Сообщение от Попугай Кеша (?), 10-Июл-18, 11:09
	Возьмите сервис и не насилуйте мозги - Medium, например. Или что-то в этом духе. Или статический генератор сайтов. GitHub Pages еще был.
	Ответить \| Правка \| ^ к родителю #15 \| Наверх \| Cообщить модератору


	20. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от Аноним (20), 10-Июл-18, 08:28
	WordPress и рассчитан на дешевые шареды. Они php 5.3 поддерживаю до сих пор
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	28. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+2 +/–
	Сообщение от нах (?), 10-Июл-18, 11:52
	на дешевых шаредах мы как раз НЕ поддерживаем ваше "5.3", у нас вообще одна единственно-верная версия, пришедшая с дистрибутивом, на котором построено - зоопарк требует недешевого времени админа, а у нас денег нет. И сегодня это 7.2 А вот как раз у селф-хостеров, у которых админ давно уже лежит на кладбище, успешно оплаканный и забытый чадами и домочадцами, или просто свалил в туманную даль, получив денег за установку в 2005м году - вполне может быть 5.3, и апгрейдить его они просто не умеют (и умея заманаешься). А wp апгрейдится у них полуавтоматически, кнопкой "поапгрейдить", а то и вовсе автоматом (правда, его надо включить, в 2005м еще не было такого) - и, что удивительно, все еще работает. Кстати, bitrix, п-сы, сломали - "с 1 января мы поддерживаем только семерку". И плевать - что за деньги ло...пользователя, которому она нахрен не нужна, как и платить еще кому-то за апгрейд сервера. (и даже поставить последний до-январский апдейт они не могут - не предусмотрена такая сложная технология - апдейт бывает только один, самый наираспоследний, кто в декабре не успел - тот лошара, попал на бабки и глюки).
	Ответить \| Правка \| ^ к родителю #20 \| Наверх \| Cообщить модератору


	19. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+2 +/–
	Сообщение от Адекват (ok), 10-Июл-18, 08:20
	Я конечно дико извиняюсь, но в СИ по ногам гораздо больше способов выстрелить, а в bash так вообще - чтобы не выстрелить нужно очень сильно постараться.
	Ответить \| Правка \| ^ к родителю #6 \| Наверх \| Cообщить модератору


	23. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	–1 +/–
	Сообщение от 1 (??), 10-Июл-18, 10:27
	там порог вхождения выше (как лицензию на пушку получить).
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	27. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от Аноне (?), 10-Июл-18, 11:48
	Не понимаю про порог, сам язык то простой, даже без ООП (да и С++ не сложнее). В PHP больше всего и вся, в ширину так сказать, и никто не мешает использовать типы и указатели.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	31. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от Аноним84701 (ok), 10-Июл-18, 12:35
	> там порог вхождения выше (как лицензию на пушку получить). Просто немодно стало. У перловки порог вхождения как бы не ощутимо выше, что абсолютно не мешало ей когда-то быть очень популярным ЯП для вебразработки – в основном методом ненаучного тыка и копипасты, а не "освоением ЯП на должном уровне". С местной "священной коровой", субъективно, все примерно так же – когда-то написать пару софтин на Си было "типа мастхев". С помощью копипасты и форумов (stackoverflow тогда еще не было) оно кое-как подгонялось под тот самый сценарий, который продумал "горе-погромист", но шаг влево, шаг вправо - корка. В общем, порог вхождения как "фильтр дураков" в целом (для ЯП) и для Си в частности – сильно преувеличен.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	33. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от 1 (??), 10-Июл-18, 13:52
	Неее ... С ж скомпилять надо ... Да ещё компилятор на тебя ругается - а потом ещё и ошибка выполнения ... Поотлаживать как ? printf во все поля ? А если файлов в проекте больше 3х ? Про perl согласен. Он и популярен был, так как интерпретатор.
	Ответить \| Правка \| ^ к родителю #31 \| Наверх \| Cообщить модератору


	34. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от . (?), 10-Июл-18, 14:08
	> Поотлаживать как ? printf во все поля ? А если файлов в проекте больше 3х ? и чем тут тот же перл проще? У которого еще и printf может выдавать совсем не то, что ожидается, если перепутан скаляр и комплексный тип. А php? И лет turbo debugger изрядно побольше, нежели вашему phpstorm. > Про perl согласен. Он и популярен был, так как интерпретатор. вы и перл, похоже,только на картинке видали. Он как бы не совсем интерпретатор, не bash какой, чай, и тоже умеет выдать ошибку и на этапе предварительного парсинга, и на этапе выполнения отдельно. И при удаче еще и в core можно выпасть, если совсем уж "повезло".
	Ответить \| Правка \| ^ к родителю #33 \| Наверх \| Cообщить модератору


	40. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от istepan (ok), 11-Июл-18, 07:47
	Какой порог, батюшка?! Забыл как в 90-е cgi поголовно ломали? Про 0day вообще молчу.
	Ответить \| Правка \| ^ к родителю #23 \| Наверх \| Cообщить модератору


	7. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+3 +/–
	Сообщение от KonstantinB (ok), 10-Июл-18, 00:17
	Потому что на php написано на порядок больше веб-приложений, чем на любом другом языке. Плюс низкий порог входа, позволяющий что-то даже работающее запрограммировать полному нубу.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	10. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+5 +/–
	Сообщение от анонсим (?), 10-Июл-18, 00:58
	Неофиты косорукие потому что. В питоне, например, это не так заметно, но то, что делают некоторые падаваны, заставляет волосы на коленках шевелиться. И это системная проблема, проблема курсов "за 5 минут", "10 способов" и прочего подобного кала, нито не хочет вникать и учиться.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	36. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от Попугай Кеша (?), 10-Июл-18, 17:05
	А зачем? учиться тяжело хомячкам
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	41. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от istepan (ok), 11-Июл-18, 07:48
	Благодаря этим курсам, спецов начинают больше ценить.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от Аноним (13), 10-Июл-18, 05:32
	> Почему именно в php и проектах на нем, пачками вскрываются уязвимости, причем > очень глупые Лкчше спроси, покрыт ли этот участок кода тестами.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	29. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от Аноним (29), 10-Июл-18, 12:08
	Чтобы покрыть потенциальную дыру с ../.. тестом, нужно о ней знать ¯\_(ツ)_/¯
	Ответить \| Правка \| ^ к родителю #13 \| Наверх \| Cообщить модератору


	16. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+7 +/–
	Сообщение от пох (?), 10-Июл-18, 07:08
	не потому, что ты не умеешь ни на чем другом? Пока обезьянки умели перл - были уязвимости, скажем, wwwthreads написанной на перле, по штуке в месяц. Когда перлу разучились окончательно - ее кое-как спортировали на php. Правильно - уязвимости наличествовавшие в перловой версии - внезапно, оказались общими и для phpшной, поскольку обезьянка как не умела правильно обрабатывать user input, так и не научилась. сейчас обезьянки массово потянулись кто на пихон, кто на игого - нате вам пачку дыр в джанге, на православнейшем пихоне. в игогошечьке тоже будут, ждем. Они там должны быть интересные, в миллионах цепочечных зависимостей, так чтобы один глупый ляп затронул сразу все проекты, даже те, авторы которых и знать об этом не знают. А вот в проектах на том же tcl - дыры редкость. Потому что во-первых, проектов нет, во-вторых, вы ж и прочитать-то его не умеете, а значит и дыры искать можете только методом тыка. А в пехепешном коде можно подходящие места прямо grep'ом...хотя да, grep вы тоже не умеете, ну ладно, запилите себе автоматическую искалку с зачатками ИИ на go.
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору


	30. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+/–
	Сообщение от lurkr (?), 10-Июл-18, 12:11
	Спасибо, ох как хорошо написал, жму руку.
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	37. "В WordPress 4.9.7 устранены уязвимости, позволяющие удалять ..."	+1 +/–
	Сообщение от анонсим (?), 10-Июл-18, 19:27
	вот почти как я написал, только развёрнуто :) школота всегда считает, что если питон-жанга/руби-рор, то они прям защищены ото всего, там дяди Д'Артаньяны умные подумали за них в отличие от мерзкого пехапе, где одни *расы.
	Ответить \| Правка \| ^ к родителю #30 \| Наверх \| Cообщить модератору