forum.opennet.ru - "Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок" (56)

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Критическая уязвимость в WordPress-плагине wpDiscuz, насчитывающем 80 тысяч установок"	+/–
Сообщение от opennews (??), 02-Авг-20, 10:59
В WordPress-плагине wpDiscuz, который установлен на более чем 80 тысячах сайтов, выявлена опасная уязвимость, позволяющая без аутентификации загрузить любой файл на сервер. В том числе можно загрузить PHP-файлы и добиться выполнения своего кода на сервере. Проблеме подвержены версии с 7.0.0 по 7.0.4 включительно. Уязвимость устранена в выпуске 7.0.5... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=53477
Ответить \| Правка \| Cообщить модератору

Оглавление

Насколько я помню из своего опыта работы с вордпресс, в нем каждый второй плагин, Аноним (1), 10:59 , 02-Авг-20, (1) +15

wp - самый активный запрос на серваках для пробития дыр, Аноним (38), 03:29 , 03-Авг-20, (38) +1

одни и те же уязвимости, когда ещё в нулевых загружали на форумы аватарки с php-, Spoofing (?), 11:02 , 02-Авг-20, (2) +11

Обучаемость - это не про пыхеров , Аноним (28), 17:12 , 02-Авг-20, (28) +1

Дело не в обучаемости Многие просто не понимают а что такого Ну возникнет проб, Вадик (??), 09:17 , 03-Авг-20, (48) +7

при выполнении PHP-файлов интерпретатор игнорирует все части вне блоков php , Alex_K (??), 11:08 , 02-Авг-20, (3) +2

Как будто это помешает выполнить код внутри блока , YetAnotherOnanym (ok), 12:23 , 02-Авг-20, (6) +2

С такой особенности пыхи даже я только что офигел Когда впервые мне показали пы, НяшМяш (ok), 16:33 , 02-Авг-20, (26) –3

Никогда такого не было и вот опять , Аноним (4), 11:30 , 02-Авг-20, (4) +9
В старом анекдоте была такая фраза евреи не жалейте заварки Стоит на сайт выде, suffix (ok), 12:21 , 02-Авг-20, (5) –28

Тонко Зачот , YetAnotherOnanym (ok), 12:28 , 02-Авг-20, (8) +18

Торгует им или кодит на нем , Аноним (40), 06:37 , 03-Авг-20, (40)

Лавры Шерлока Холмса Вам не по плечу 1 Не торгую моя работа вообще с IT или, suffix (ok), 08:33 , 03-Авг-20, (47) +2

Раз не программист, тогда и нечего рассуждать По качеству кода Битрикс находится, Аноним (51), 13:04 , 03-Авг-20, (51) +1

Снобизм свой поумерить не хотите Да, не программист но хостмастером себя назват, suffix (ok), 13:18 , 03-Авг-20, (53) –1

Прикольные истории для малышков у вас https www babai ru video видео не от, benu (ok), 15:51 , 03-Авг-20, (59)

1 Спасибо Вы сказки имеете ввиду 2 Странно - проверил - показывает в 79-о, suffix (ok), 16:07 , 03-Авг-20, (60)

Этот ваш битрикс никому кроме пары стран не нужОн И даже если заказчик с одной , Аноним (9), 12:36 , 02-Авг-20, (9)

Ну а потом что удивляться тому что взломали Я же писал выше - жадность порождае, suffix (ok), 12:40 , 02-Авг-20, (11) –4

Вы пропустили последнее слово вокруг , Аноним (14), 14:14 , 02-Авг-20, (14) +1

не будь лохом, найми исполнителя с другой из них - там по 500 ре работают и благ, пох. (?), 15:45 , 02-Авг-20, (23)

Полностью поддерживаю Битрикс - это лучшее что доступно для разработки сайтов , Аноним (10), 12:39 , 02-Авг-20, (10) –6

Ну если у вас пошли такие предложения , то упомяну TYPO3 -- оно не только поспо, Michael Shigorin (ok), 13:02 , 02-Авг-20, (12) –3

Михаил, вот от вас я не ожидал такого пиара CMS на PHP MySQL, ведь это принципиа, cypa (ok), 15:18 , 02-Авг-20, (18)

Сравнивают две CMS на PHP My SQL, упомянул третью Вы точно так же вправе назва, Michael Shigorin (ok), 11:39 , 03-Авг-20, (49)

Собирался ставить Друпал - он норм Хотел всё это подружить в ЛДАПом, но как-то о, InuYasha (??), 14:08 , 03-Авг-20, (54)

Как typo3 с кассами и эквайрингом У битрикса в комплекте идет Интеграции с crm и, Аноним (24), 15:57 , 02-Авг-20, (24) –1

Самое главное - с 1С Если этого нет, то рассматривать нельзя , Аноним (10), 17:34 , 02-Авг-20, (30)
С какими такими кассами Typo3 - это международный проект, если что С чего бы м, Аноним (51), 13:09 , 03-Авг-20, (52)

Нет Лучшее - это прямые руки и фреймворк Пусть и на пыхе , Satori (ok), 21:20 , 03-Авг-20, (62) +1

ага, вот например тут речь шла о плагине для более-менее полноценного форума, гд, пох. (?), 15:14 , 02-Авг-20, (17) +2

1 Форум есть в Битриксе функционал конечно так себе - Вы правы 2 Если хочетс, suffix (ok), 15:20 , 02-Авг-20, (19) +1

ну дык дать деньгов wp-разработчику - тоже самое и будет И может даже дешевле , пох. (?), 15:28 , 02-Авг-20, (20) +2

Ну вот мы с Вами и сошлись во мнениях Просто из коробки Битрикс А Для обычн, suffix (ok), 15:45 , 02-Авг-20, (22)

129326 Все кого знаю из пользователей Битрикса так же хотели заплатить и забы, istepan (ok), 07:44 , 03-Авг-20, (41)

Либо 1 Все ваши знакомые владеют проектами с посещаемостью сотни тысяч в день 2, suffix (ok), 08:05 , 03-Авг-20, (43)

Хмм Имел опыт в оптимизации плагина разрабатывал его не я для последующей пуб, Аноним (9), 12:27 , 02-Авг-20, (7) +4
Зачем вообще пользовательские файлы смешивать с кодом сайта код сайта пропускае, Аноним (13), 13:39 , 02-Авг-20, (13)

для дерьмохостингов, у которых вообще все файлы - код сайта Отдельными настрой, пох. (?), 15:30 , 02-Авг-20, (21) +4

htaccess, не , Аноним (13), 16:34 , 02-Авг-20, (27)

полож на место имя моей аватарки , пох. (?), 17:30 , 02-Авг-20, (29) +2

Никогда не было и вот опять, Анон1212 (?), 14:43 , 02-Авг-20, (15)
как в wordpress запретить показывать какие плагины используются , Аноним (32), 20:06 , 02-Авг-20, (32)

Никак , BlackRot (ok), 20:48 , 02-Авг-20, (33) +1

я правильно понимаю что там небинарные php-файлы, которые можно изменять по свое, InuYasha (??), 14:33 , 03-Авг-20, (56)

Правильно понимаете Всё открыто, можете редактировать что угодно на своё усмотр, BlackRot (ok), 22:16 , 03-Авг-20, (63)

Не использовать wordpress , FlatFile CMS (?), 20:54 , 02-Авг-20, (34) +3

Или зашифровать вообще всё, BlackRot (ok), 08:08 , 03-Авг-20, (44)

Хахаха, классика котссигаретой джпг, istepan (ok), 07:59 , 03-Авг-20, (42) +1

Это да Сам движок если и появляется какая то уязвииость фиксится в считанные ми, BlackRot (ok), 08:10 , 03-Авг-20, (45)

Жопаболь блоггеров , Аноним (46), 08:11 , 03-Авг-20, (46) +2
Уязвимость вызвана недоработкой в коде проверки загружаемых типов файлов, испол, Аноним (50), 13:00 , 03-Авг-20, (50) +2

Это же пыхпых , Аноним (38), 14:59 , 03-Авг-20, (57)
А это и не интерпретатор, это препроцессор гипертекста Так что выполняет всё по, Аноним (61), 20:23 , 03-Авг-20, (61)

Сколько лет служу, а s пароль s проблема не меняется ЧСХ, быд сообщество ПХП, InuYasha (??), 14:14 , 03-Авг-20, (55) +3
Да сколько уже дыр в этих плагинах, теперь по каждому новость писать , Аноним (58), 15:17 , 03-Авг-20, (58) +1

Сообщения [Сортировка по времени | RSS]

1. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +15 +/–

Сообщение от Аноним (1), 02-Авг-20, 10:59

Насколько я помню из своего опыта работы с вордпресс, в нем каждый второй плагин такой.

Ответить | Правка | Наверх | Cообщить модератору

38. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Аноним (38), 03-Авг-20, 03:29

wp - самый активный запрос на серваках для пробития дыр

Ответить | Правка | Наверх | Cообщить модератору

2. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +11 +/–

Сообщение от Spoofing (?), 02-Авг-20, 11:02

одни и те же уязвимости, когда ещё в нулевых загружали на форумы аватарки с php-кодом.

Ответить | Правка | Наверх | Cообщить модератору

28. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Аноним (28), 02-Авг-20, 17:12

Обучаемость - это не про пыхеров.

Ответить | Правка | Наверх | Cообщить модератору

48. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +7 +/–

Сообщение от Вадик (??), 03-Авг-20, 09:17

Дело не в обучаемости. Многие просто не понимают а что такого. Ну возникнет проблема, будем фиксить, главное что работает!

Ответить | Правка | Наверх | Cообщить модератору

3. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от Alex_K (??), 02-Авг-20, 11:08

"при выполнении PHP-файлов интерпретатор игнорирует все части вне блоков "<?php""
Гупость написали :)
Вне этих блоков содержимое выводится в STDOUT.
Да еще и короткая форма <? прижилась.

Ответить | Правка | Наверх | Cообщить модератору

6. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от YetAnotherOnanym (ok), 02-Авг-20, 12:23

> Вне этих блоков содержимое выводится в STDOUT
Как будто это помешает выполнить код внутри блока.

Ответить | Правка | Наверх | Cообщить модератору

26. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –3 +/–

Сообщение от НяшМяш (ok), 02-Авг-20, 16:33

С такой особенности пыхи даже я только что офигел. Когда впервые мне показали пыху ещё в школе, я спросил "что это за кусок?". Чуйка моей пятой точки ещё ни разу не подводила меня.

Ответить | Правка | Наверх | Cообщить модератору

4. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +9 +/–

Сообщение от Аноним (4), 02-Авг-20, 11:30

Никогда такого не было и вот опять.

Ответить | Правка | Наверх | Cообщить модератору

5. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –28 +/–

Сообщение от suffix (ok), 02-Авг-20, 12:21

В старом анекдоте была такая фраза "евреи не жалейте заварки".
Стоит на сайт выделить чуть больший бюджет и сайт можно будет сделать не на WP а на Битрикс - в котором уже есть модуль "Проактивная защита" который физически не допустит подобных ситуаций. Кроме того Битрикс вообще как правило не нуждается в сторонних плагинах - всё нужное есть из коробки.
Итог: жадность порождает бедность!

Ответить | Правка | Наверх | Cообщить модератору

8. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +18 +/–

Сообщение от YetAnotherOnanym (ok), 02-Авг-20, 12:28

> на Битрикс
Тонко. Зачот.

Ответить | Правка | Наверх | Cообщить модератору

40. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (40), 03-Авг-20, 06:37

Торгует им или кодит на нем.

Ответить | Правка | Наверх | Cообщить модератору

47. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от suffix (ok), 03-Авг-20, 08:33

Лавры Шерлока Холмса Вам не по плечу :)
1. Не торгую (моя работа вообще с IT или Web-ом не связана.
2. Не программист ни разу, сайты не делаю.
Но у меня сайт на Битрикс (хобби для души - без какой-либо монетизации, рекламы, услуг и т.п.) про хрюш которых я люблю искренне и бескорыстно :)
Но я немного разбираюсь в "технологиях" и стараюсь быть в теме чтобы грамотно ТЗ уметь составлять.
Вроде бы получается - во всяком случае мой сайт ("тяжёлой" версии Эксперт плюс добавленный сложный функционал под капотом который снаружи не виден, но помогает мне в работе с сайтом) "быстрее" чем большинство сайтов на WP.
Можете сами проверить: https://www.babai.ru

Ответить | Правка | Наверх | Cообщить модератору

51. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Аноним (51), 03-Авг-20, 13:04

Раз не программист, тогда и нечего рассуждать.
По качеству кода Битрикс находится под тем же плинтусом, рядом с вордпрессом.

Ответить | Правка | Наверх | Cообщить модератору

53. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –1 +/–

Сообщение от suffix (ok), 03-Авг-20, 13:18

Снобизм свой поумерить не хотите ?
Да, не программист но хостмастером себя назвать вполне могу :)
Ну скажем в докaзательствльство:
Возьмём к примеру лучший сервис проверки tls - immuniweb (раньше назывался htbridge).
https://www.immuniweb.com/ssl/#about
"The following security experts helped us improve this free product:"
Первым в списке ваш покорный слуга :)

Ответить | Правка | Наверх | Cообщить модератору

59. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от benu (ok), 03-Авг-20, 15:51

Прикольные истории для малышков у вас. :)
https://www.babai.ru/video/ видео не открываются. FF 78.0.2

Ответить | Правка | К родителю #47 | Наверх | Cообщить модератору

60. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от suffix (ok), 03-Авг-20, 16:07

1. Спасибо :) Вы сказки имеете ввиду ?
2. Странно - проверил - показывает в 79-ом. Может глюк какой у Ютуба ?

Ответить | Правка | Наверх | Cообщить модератору

9. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (9), 02-Авг-20, 12:36

Этот ваш битрикс никому кроме пары стран не нужОн. И даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет", а намного больший (пишу как человек, работающий с этим всем).
"как правило не нуждается в сторонних плагинах" - это также относится в категории "чуть больший бюджет". Там, где в вп можно поставить плагин и не заморачиваться, в бх зачастую придется искать прогера, который впилит этот функционал, или опять же покупать модуль (далеко не факт, что таковой найдется).
Никоим образом не защищаю вп, но предлагать бх как альтернативу, такое себе. Аксиома Эскобара в общем.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

11. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –4 +/–

Сообщение от suffix (ok), 02-Авг-20, 12:40

>Там, где в вп можно поставить плагин
Ну а потом что удивляться тому что взломали ?
Я же писал выше - жадность порождает бедность :)

Ответить | Правка | Наверх | Cообщить модератору

14. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Аноним (14), 02-Авг-20, 14:14

Вы пропустили последнее слово "вокруг".

Ответить | Правка | Наверх | Cообщить модератору

23. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от пох. (?), 02-Авг-20, 15:45

> даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет",
> а намного больший
не будь лохом, найми исполнителя с другой из них - там по 500 ре работают и благодарят еще.

Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

10. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –6 +/–

Сообщение от Аноним (10), 02-Авг-20, 12:39

Полностью поддерживаю. Битрикс - это лучшее что доступно для разработки сайтов.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

12. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –3 +/–

Сообщение от Michael Shigorin (ok), 02-Авг-20, 13:02

Ну если у вас пошли такие "предложения", то упомяну TYPO3 -- оно не только поспорит с битриксом, а и свободное.

Ответить | Правка | Наверх | Cообщить модератору

18. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от cypa (ok), 02-Авг-20, 15:18

Михаил, вот от вас я не ожидал такого пиара CMS на PHP+MySQL, ведь это принципиально неправильная архитектура для CMS, пихать в СУБД всё подряд, а потом мучительно оптимизировать и кэшировать - это просто извращения и перверсия, по 10 раз сериализировать данные просто чтобы тупо отдать их через http - неужели вы такое поддерживаете, Михаил?

Ответить | Правка | Наверх | Cообщить модератору

49. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Michael Shigorin (ok), 03-Авг-20, 11:39

Сравнивают две CMS на PHP+[My]SQL, упомянул третью; Вы точно так же вправе назвать любой другой вариант, который считаете красивым и оптимальным, желательно по опыту. :)
Мне TYPO3 была вполне симпатична как проект, когда занимался созданием и поддержкой сайтов около osdn.org.ua (да, можно делать статическую вёрстку или статическую генерацию и при слэшдот-эффекте ровно это и спасло; только поддерживать такое я не был готов даже в две руки). Это было лет пятнадцать-десять назад.
Сейчас предпочитаю с такими задачами обращаться к тогдашнему коллеге по участию в тех же переводах и исправлениях -- Валере Романчеву; его ttlab продолжил заниматься именно CMS и сайтостроением. (2 ыы: вот _теперь_ самое время подскакивать и повизгивать про пиар, а мы похлопаем :)
И что характерно, CMS всё так же развивается и работает.
Питоньи фреймворки и CMS "не зашли" (хотя это у меня, а тот же NauDoc представлял из себя "цельнодраный Plone", по словам cray@, который одно время тащил это всё в альте и перетаскивал на новые питоны).
Java-вые -- тоже (особенно с учётом того, что довольно долго *.linux.kiev.ua, включая ftp, www и lists, крутились вообще на одном Duron 800/512М с аккуратно разведённой кучкой дисков и vserver/ovz); хотя контакты с ребятами, которые умеют готовить ту же Alfresco, где-то наверняка остались.
PS re #24: а как у 1С с эльбрусами? (я-то знаю, как -- с Пухом вместе ещё "Ломоносова" строили, но раз набежали с козырей -- извольте)

Ответить | Правка | Наверх | Cообщить модератору

54. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от InuYasha (??), 03-Авг-20, 14:08

Собирался ставить Друпал - он норм?
Хотел всё это подружить в ЛДАПом, но как-то оказалось пока чересчур мудрёно

Ответить | Правка | Наверх | Cообщить модератору

24. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." –1 +/–

Сообщение от Аноним (24), 02-Авг-20, 15:57

Как typo3 с кассами и эквайрингом?
У битрикса в комплекте идет.
Интеграции с crm и учетными системами?

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

30. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (10), 02-Авг-20, 17:34

>Интеграции с crm и учетными системами?
Самое главное - с 1С. Если этого нет, то рассматривать нельзя.

Ответить | Правка | Наверх | Cообщить модератору

52. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (51), 03-Авг-20, 13:09

С какими такими кассами? Typo3 - это международный проект, если что. С чего бы местечковая российская специфика там должна быть в комплекте?
Плагины для всяких там Paypal-ов и всяких Zoho CRM конечно есть.

Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

62. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Satori (ok), 03-Авг-20, 21:20

>Битрикс - это лучшее что доступно для разработки сайтов.
Нет. Лучшее - это прямые руки и фреймворк. Пусть и на пыхе.

Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

17. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от пох. (?), 02-Авг-20, 15:14

> Кроме того Битрикс вообще как правило не нуждается в сторонних плагинах - всё нужное есть из
> коробки.
ага, вот например тут речь шла о плагине для более-менее полноценного форума, где видно кто кому отвечал и о чем.
А что есть форум "из коробки" в битриксе, кроме дерьма на палочке? ОТОЖ. Причем форум не комментарий, и комментарий не форум - комментарии битрикса отдельны для каждого модуля (для некоторых их нет вообще) и каждый имеет свой нескучный интерфейс и убогую кастрированную функциональность, еще слабее чем их дерьмофорум.
При этом скока-скока захочет не безнадежно косорукий битриксопейсатель про заек, чтобы это все хоть как-то похоже было на работающее?

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

19. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от suffix (ok), 02-Авг-20, 15:20

1. Форум есть в Битриксе (функционал конечно так себе - Вы правы).
2. Если хочется нормальный форум то платить придётся как в WP так и в Битриксе.
3. Общий смысл моего поста Вы прекрасно поняли - если не пожалеть средств то из Битрикса можно сделать конфетку, а из WP никогда ибо суть его в сторонних плагинах.

Ответить | Правка | Наверх | Cообщить модератору

20. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от пох. (?), 02-Авг-20, 15:28

> Общий смысл моего поста Вы прекрасно поняли - если не пожалеть средств то из Битрикса можно
> сделать конфетку
ну дык дать деньгов wp-разработчику - тоже самое и будет. И может даже дешевле (хотя и неочевидно).
Может даже какой waf хоть на базе mod_security тебе поставит (чему доверия все же поболее битриксового встроенного и на пехепе).
А собирая из готовых модулей без ансамбля и не понимая как они работают - ну, получаешь что получаешь, затобесплатное.

Ответить | Правка | Наверх | Cообщить модератору

22. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от suffix (ok), 02-Авг-20, 15:45

Ну вот мы с Вами и сошлись во мнениях !
Просто из "коробки" Битрикс:
А) Для "обычной" работы сайта не требует плагинов
Б) С включённым по умолчанию модулем "Проактивная защита" уже безопаснее чем WP.
Разумеется спец может и там и там настроить грамотно. К примеру у меня Битрикс но Проактивная защита отключена и стоит mod_security, но повторюсь для "обычных" владельцев "обычных" сайтов Битрикс намного надёжнее чем WP что и подтверждает эта новость которую мы обсуждаем.

Ответить | Правка | Наверх | Cообщить модератору

41. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от istepan (ok), 03-Авг-20, 07:44

🤮
Все кого знаю из пользователей Битрикса так же хотели "заплатить и забыть". В итоге через время все (именно все) жалели о потраченных деньгах.
Половина наняла толкового разработчика или команду, и переписали свои сервисы на нормальных фреймворках. Остальные довольствовалась тем что получили, изредка доплачивая 100500 деревянных за мелкие доработки, тогда как при нормальной разработке на нормальных продуктах эти же правки стоили бы копейки и буквально минуты времени программистов и прочих верстальщиков (есть десятки примеров из личного опыта).
Ах, да. Ещё разработка сайта на битриксе в студиях обойдется не дешевле, а то и дороже, и качество будет очень сомнительное. Так как в студиях часто нет компетентных разработчиков, ибо в Битриксом нормальные программисты не хотят связываться, а если связываются, то только за доплату 100500 тех же деревянных денег.

Ответить | Правка | К родителю #5 | Наверх | Cообщить модератору

43. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от suffix (ok), 03-Авг-20, 08:05

Либо:
1. Все ваши знакомые владеют проектами с посещаемостью сотни тысяч в день.
2. Но скорее всего не умеют искать нормальных исполнителей / составлять нормальное ТЗ / жадные до расходов на программистов.
Да, Битрикс надо уметь готовить. Но я же писал не об этом - Битрикс вот прямо из коробки без сторонних плагинов намного функциональное чем WP (тоже без сторонних плагинов) и соответственно и намного безопаснее - что данная новость и подтверждает!

Ответить | Правка | Наверх | Cообщить модератору

7. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +4 +/–

Сообщение от Аноним (9), 02-Авг-20, 12:27

Хмм. Имел опыт в оптимизации плагина (разрабатывал его не я) для последующей публикации на wordpress.org, так их ревьюеры такую простыню по безопасности выкатили: и ввод чисть, и права на доступ к этому функционалу проверяй, и еще много чего другого. И все это через стандартный функционал вп. Проверяют же плагины, а все равно вп - решeто в плане безопасности.

Ответить | Правка | Наверх | Cообщить модератору

13. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (13), 02-Авг-20, 13:39

Зачем вообще пользовательские файлы смешивать с кодом сайта (код сайта пропускается через интерпретатор, а пользовательские данные вообще обрабатываться не должны, а должны просто отдаваться с минимальным оверхедом)?

Ответить | Правка | Наверх | Cообщить модератору

21. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +4 +/–

Сообщение от пох. (?), 02-Авг-20, 15:30

> Зачем вообще пользовательские файлы смешивать с кодом сайта
для дерьмохостингов, у которых вообще все файлы - "код сайта".
Отдельными настройками "тут играем, тут рыбу заворачивали" - никто париться не будет, все равно типовому юзеру не поможет.

Ответить | Правка | Наверх | Cообщить модератору

27. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (13), 02-Авг-20, 16:34

.htaccess, не?

Ответить | Правка | Наверх | Cообщить модератору

29. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от пох. (?), 02-Авг-20, 17:30

полож на место имя моей аватарки!

Ответить | Правка | Наверх | Cообщить модератору

15. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Анон1212 (?), 02-Авг-20, 14:43

Никогда не было и вот опять

Ответить | Правка | Наверх | Cообщить модератору

32. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (32), 02-Авг-20, 20:06

как в wordpress запретить показывать какие плагины используются?

Ответить | Правка | Наверх | Cообщить модератору

33. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от BlackRot (ok), 02-Авг-20, 20:48

Никак.

Ответить | Правка | Наверх | Cообщить модератору

56. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от InuYasha (??), 03-Авг-20, 14:33

я правильно понимаю что там небинарные php-файлы, которые можно изменять по своему усмотрению? или там настолько анальная лицензия что за админом смотрит party van?

Ответить | Правка | Наверх | Cообщить модератору

63. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от BlackRot (ok), 03-Авг-20, 22:16

Правильно понимаете. Всё открыто, можете редактировать что угодно на своё усмотрение.

Ответить | Правка | Наверх | Cообщить модератору

34. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +3 +/–

Сообщение от FlatFile CMS (?), 02-Авг-20, 20:54

Не использовать wordpress?

Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

44. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от BlackRot (ok), 03-Авг-20, 08:08

Или зашифровать вообще всё

Ответить | Правка | Наверх | Cообщить модератору

42. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от istepan (ok), 03-Авг-20, 07:59

Хахаха, классика котссигаретой.джпг

Ответить | Правка | Наверх | Cообщить модератору

45. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от BlackRot (ok), 03-Авг-20, 08:10

Это да. Сам движок если и появляется какая то уязвииость фиксится в считанные минуты, а вот плагины это отдельная история

Ответить | Правка | Наверх | Cообщить модератору

46. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от Аноним (46), 03-Авг-20, 08:11

Жопаболь блоггеров?

Ответить | Правка | Наверх | Cообщить модератору

50. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +2 +/–

Сообщение от Аноним (50), 03-Авг-20, 13:00

"Уязвимость вызвана недоработкой в коде проверки загружаемых типов файлов, используемом для прикрепления изображений к комментариям."
А кто-нибудь подскажет зачем таким файлам права на исполнение? ведь если он с 644, то интерпретатор его не должен выполнять вне зависимости от его содержимого.

Ответить | Правка | Наверх | Cообщить модератору

57. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (38), 03-Авг-20, 14:59

> если он с 644, то интерпретатор его не должен выполнять
Это же пыхпых...

Ответить | Правка | Наверх | Cообщить модератору

61. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +/–

Сообщение от Аноним (61), 03-Авг-20, 20:23

> ведь если он с 644, то интерпретатор его не должен выполнять
А это и не интерпретатор, это препроцессор гипертекста. Так что выполняет всё подряд.

Ответить | Правка | К родителю #50 | Наверх | Cообщить модератору

55. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +3 +/–

Сообщение от InuYasha (??), 03-Авг-20, 14:14

"Сколько лет служу, а <s>пароль</s>проблема не меняется"
ЧСХ, быд..сообщество ПХП отвергло инициативу P++ год назад.

Ответить | Правка | Наверх | Cообщить модератору

58. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..." +1 +/–

Сообщение от Аноним (58), 03-Авг-20, 15:17

Да сколько уже дыр в этих плагинах, теперь по каждому новость писать?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+15 +/–
Сообщение от Аноним (1), 02-Авг-20, 10:59
Насколько я помню из своего опыта работы с вордпресс, в нем каждый второй плагин такой.
Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+1 +/–
	Сообщение от Аноним (38), 03-Авг-20, 03:29
	wp - самый активный запрос на серваках для пробития дыр
	Ответить \| Правка \| Наверх \| Cообщить модератору

2. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+11 +/–
Сообщение от Spoofing (?), 02-Авг-20, 11:02
одни и те же уязвимости, когда ещё в нулевых загружали на форумы аватарки с php-кодом.
Ответить \| Правка \| Наверх \| Cообщить модератору


	28. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+1 +/–
	Сообщение от Аноним (28), 02-Авг-20, 17:12
	Обучаемость - это не про пыхеров.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	48. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+7 +/–
	Сообщение от Вадик (??), 03-Авг-20, 09:17
	Дело не в обучаемости. Многие просто не понимают а что такого. Ну возникнет проблема, будем фиксить, главное что работает!
	Ответить \| Правка \| Наверх \| Cообщить модератору

3. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+2 +/–
Сообщение от Alex_K (??), 02-Авг-20, 11:08
"при выполнении PHP-файлов интерпретатор игнорирует все части вне блоков "<?php"" Гупость написали :) Вне этих блоков содержимое выводится в STDOUT. Да еще и короткая форма <? прижилась.
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+2 +/–
	Сообщение от YetAnotherOnanym (ok), 02-Авг-20, 12:23
	> Вне этих блоков содержимое выводится в STDOUT Как будто это помешает выполнить код внутри блока.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–3 +/–
	Сообщение от НяшМяш (ok), 02-Авг-20, 16:33
	С такой особенности пыхи даже я только что офигел. Когда впервые мне показали пыху ещё в школе, я спросил "что это за кусок?". Чуйка моей пятой точки ещё ни разу не подводила меня.
	Ответить \| Правка \| Наверх \| Cообщить модератору

4. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+9 +/–
Сообщение от Аноним (4), 02-Авг-20, 11:30
Никогда такого не было и вот опять.
Ответить \| Правка \| Наверх \| Cообщить модератору

5. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–28 +/–
Сообщение от suffix (ok), 02-Авг-20, 12:21
В старом анекдоте была такая фраза "евреи не жалейте заварки". Стоит на сайт выделить чуть больший бюджет и сайт можно будет сделать не на WP а на Битрикс - в котором уже есть модуль "Проактивная защита" который физически не допустит подобных ситуаций. Кроме того Битрикс вообще как правило не нуждается в сторонних плагинах - всё нужное есть из коробки. Итог: жадность порождает бедность!
Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+18 +/–
	Сообщение от YetAnotherOnanym (ok), 02-Авг-20, 12:28
	> на Битрикс Тонко. Зачот.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	40. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от Аноним (40), 03-Авг-20, 06:37
	Торгует им или кодит на нем.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	47. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+2 +/–
	Сообщение от suffix (ok), 03-Авг-20, 08:33
	Лавры Шерлока Холмса Вам не по плечу :) 1. Не торгую (моя работа вообще с IT или Web-ом не связана. 2. Не программист ни разу, сайты не делаю. Но у меня сайт на Битрикс (хобби для души - без какой-либо монетизации, рекламы, услуг и т.п.) про хрюш которых я люблю искренне и бескорыстно :) Но я немного разбираюсь в "технологиях" и стараюсь быть в теме чтобы грамотно ТЗ уметь составлять. Вроде бы получается - во всяком случае мой сайт ("тяжёлой" версии Эксперт плюс добавленный сложный функционал под капотом который снаружи не виден, но помогает мне в работе с сайтом) "быстрее" чем большинство сайтов на WP. Можете сами проверить: https://www.babai.ru
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+1 +/–
	Сообщение от Аноним (51), 03-Авг-20, 13:04
	Раз не программист, тогда и нечего рассуждать. По качеству кода Битрикс находится под тем же плинтусом, рядом с вордпрессом.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–1 +/–
	Сообщение от suffix (ok), 03-Авг-20, 13:18
	Снобизм свой поумерить не хотите ? Да, не программист но хостмастером себя назвать вполне могу :) Ну скажем в докaзательствльство: Возьмём к примеру лучший сервис проверки tls - immuniweb (раньше назывался htbridge). https://www.immuniweb.com/ssl/#about "The following security experts helped us improve this free product:" Первым в списке ваш покорный слуга :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	59. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от benu (ok), 03-Авг-20, 15:51
	Прикольные истории для малышков у вас. :) https://www.babai.ru/video/ видео не открываются. FF 78.0.2
	Ответить \| Правка \| К родителю #47 \| Наверх \| Cообщить модератору


	60. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от suffix (ok), 03-Авг-20, 16:07
	1. Спасибо :) Вы сказки имеете ввиду ? 2. Странно - проверил - показывает в 79-ом. Может глюк какой у Ютуба ?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от Аноним (9), 02-Авг-20, 12:36
	Этот ваш битрикс никому кроме пары стран не нужОн. И даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет", а намного больший (пишу как человек, работающий с этим всем). "как правило не нуждается в сторонних плагинах" - это также относится в категории "чуть больший бюджет". Там, где в вп можно поставить плагин и не заморачиваться, в бх зачастую придется искать прогера, который впилит этот функционал, или опять же покупать модуль (далеко не факт, что таковой найдется). Никоим образом не защищаю вп, но предлагать бх как альтернативу, такое себе. Аксиома Эскобара в общем.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	11. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–4 +/–
	Сообщение от suffix (ok), 02-Авг-20, 12:40
	>Там, где в вп можно поставить плагин Ну а потом что удивляться тому что взломали ? Я же писал выше - жадность порождает бедность :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+1 +/–
	Сообщение от Аноним (14), 02-Авг-20, 14:14
	Вы пропустили последнее слово "вокруг".
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от пох. (?), 02-Авг-20, 15:45
	> даже если заказчик с одной из них, то ему понадобится не "чуть больший бюджет", > а намного больший не будь лохом, найми исполнителя с другой из них - там по 500 ре работают и благодарят еще.
	Ответить \| Правка \| К родителю #9 \| Наверх \| Cообщить модератору


	10. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–6 +/–
	Сообщение от Аноним (10), 02-Авг-20, 12:39
	Полностью поддерживаю. Битрикс - это лучшее что доступно для разработки сайтов.
	Ответить \| Правка \| К родителю #5 \| Наверх \| Cообщить модератору


	12. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–3 +/–
	Сообщение от Michael Shigorin (ok), 02-Авг-20, 13:02
	Ну если у вас пошли такие "предложения", то упомяну TYPO3 -- оно не только поспорит с битриксом, а и свободное.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от cypa (ok), 02-Авг-20, 15:18
	Михаил, вот от вас я не ожидал такого пиара CMS на PHP+MySQL, ведь это принципиально неправильная архитектура для CMS, пихать в СУБД всё подряд, а потом мучительно оптимизировать и кэшировать - это просто извращения и перверсия, по 10 раз сериализировать данные просто чтобы тупо отдать их через http - неужели вы такое поддерживаете, Михаил?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от Michael Shigorin (ok), 03-Авг-20, 11:39
	Сравнивают две CMS на PHP+[My]SQL, упомянул третью; Вы точно так же вправе назвать любой другой вариант, который считаете красивым и оптимальным, желательно по опыту. :) Мне TYPO3 была вполне симпатична как проект, когда занимался созданием и поддержкой сайтов около osdn.org.ua (да, можно делать статическую вёрстку или статическую генерацию и при слэшдот-эффекте ровно это и спасло; только поддерживать такое я не был готов даже в две руки). Это было лет пятнадцать-десять назад. Сейчас предпочитаю с такими задачами обращаться к тогдашнему коллеге по участию в тех же переводах и исправлениях -- Валере Романчеву; его ttlab продолжил заниматься именно CMS и сайтостроением. (2 ыы: вот _теперь_ самое время подскакивать и повизгивать про пиар, а мы похлопаем :) И что характерно, CMS всё так же развивается и работает. Питоньи фреймворки и CMS "не зашли" (хотя это у меня, а тот же NauDoc представлял из себя "цельнодраный Plone", по словам cray@, который одно время тащил это всё в альте и перетаскивал на новые питоны). Java-вые -- тоже (особенно с учётом того, что довольно долго *.linux.kiev.ua, включая ftp, www и lists, крутились вообще на одном Duron 800/512М с аккуратно разведённой кучкой дисков и vserver/ovz); хотя контакты с ребятами, которые умеют готовить ту же Alfresco, где-то наверняка остались. PS re #24: а как у 1С с эльбрусами? (я-то знаю, как -- с Пухом вместе ещё "Ломоносова" строили, но раз набежали с козырей -- извольте)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	54. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от InuYasha (??), 03-Авг-20, 14:08
	Собирался ставить Друпал - он норм? Хотел всё это подружить в ЛДАПом, но как-то оказалось пока чересчур мудрёно
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	–1 +/–
	Сообщение от Аноним (24), 02-Авг-20, 15:57
	Как typo3 с кассами и эквайрингом? У битрикса в комплекте идет. Интеграции с crm и учетными системами?
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	30. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от Аноним (10), 02-Авг-20, 17:34
	>Интеграции с crm и учетными системами? Самое главное - с 1С. Если этого нет, то рассматривать нельзя.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	52. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+/–
	Сообщение от Аноним (51), 03-Авг-20, 13:09
	С какими такими кассами? Typo3 - это международный проект, если что. С чего бы местечковая российская специфика там должна быть в комплекте? Плагины для всяких там Paypal-ов и всяких Zoho CRM конечно есть.
	Ответить \| Правка \| К родителю #24 \| Наверх \| Cообщить модератору


	62. "Критическая уязвимость в WordPress-плагине wpDiscuz, насчиты..."	+1 +/–
	Сообщение от Satori (ok), 03-Авг-20, 21:20
	>Битрикс - это лучшее что доступно для разработки сайтов. Нет. Лучшее - это прямые руки и фреймворк. Пусть и на пыхе.
	Ответить \| Правка \| К родителю #10 \| Наверх \| Cообщить модератору