Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Backup Migration, Madara, Highlight and Share, Temporary Login, Quick Playground. Для котрих з’явилися експлоіти.

• WordPress Backup Migration 1.3.7 - Remote Command Execution (деталі)
• WordPress Madara - Local File Inclusion (деталі)
• WordPress Plugin 5.2.0 - Broken Access Control (деталі)
• Wordpress Temporary Login Plugin 1.0.0 - ‘temp-login-token’ Authentication Bypass to Account Takeover (деталі)
• Quick Playground for WordPress 1.3.1 - Unauthenticated Remote Code Execution (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В даній добірці експлоіти в веб додатках:

• MikroTik RouterOS 7.19.1 - Reflected XSS (деталі)
• NodeJS 24.x - Path Traversal (деталі)
• Microsoft Edge Windows 10 Version 1511 - Cross Site Scripting (XSS) (деталі)
• Tenda FH451 1.0.0.9 Router - Stack-based Buffer Overflow (деталі)
• Microsoft Edge (Chromium-based) 135.0.7049.114/.115 - Information Disclosure (деталі)

У статті Атаки та захист Wi-Fi та Bluetooth пристроїв я розповідав про атаки на пристрої з Wi-Fi та Bluetooth і захист даних пристроїв.

Вже наводив уразливість в Xiaomi Mi Temperature & Humidity Monitor раніше. Це метеостанція з бездротовим доступом по Bluetooth.

А зараз приведу приклад уразливості в одному IoT - це зарядна станція Anker Solix C800X. Яку можна захопити через Bluetooth в радіусі дії пристрою.

Перевіряв на власній станції Anker Solix C800X, але мають бути вразливими всі моделі Solix.

Для атаки потрібна програма на смартфоні - Anker для iOS і Android.

Враховуючи, що немає жодного захисту (як от паролів чи пін-кодів), то при наближені до радіусу дії Bluetooth станції, можна до неї під’єднатися. Запускаєте додаток на смартфоні, де шукаєте пристрої поблизу, вибираєте вашу модель Solix та під’єднуєтеся. Для цього вмикаєте BT, Wi-Fi (теж потрібно для першого з’єднання зі станцією, далі вже без нього) та геолокацію на смартфоні.

За замовчуванням в зарядних станціях Anker Solix при старті увімкнений безпровідний режим, тому всі можуть під’єднатися до неї. Писав у вищезгаданій статті, що я завжди вимикаю BT у ній при кожному ввімкненні - спеціальною кнопкою. Це захищає.

Додам, що додаток на Android 14 бачить станцію, проте ніяк не хоче з’єднуватися з нею. Зате на Android 11 все працює добре.

У січні, 15.01.2026, вийшли PHP 8.3.30, PHP 8.4.17 і PHP 8.5.2. У версії PHP 8.3.30 та особливо у версіях PHP 8.4.17 і 8.5.2 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.3.x, 8.4.x і 8.5.x.

У PHP 8.3.30, 8.4.17 і 8.5.2 виправлено:

• Витоки пам’яті.
• Численні вибивання.
• Численні пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://uaj.uac.gov.ua (хакером Simsimi) - 09.03.2026 - похаканий державний сайт
• https://enot.zp.ua (хакером Antonkill) - 30.06.2026
• https://berkzpmsd.com.ua (хакером Trenggalek) - 03.07.2026
• https://ecomeb.com.ua (хакером Trenggalek) - 03.07.2026
• https://ivan-alena.od.ua (хакером CoupDeGrace) - 04.07.2026

Двадцять років тому, 18.07.2006, мій проект розпочав свою роботу. Цього липня виповнилося 20 років з моменту початку офіційної роботи проекту Websecurity - Веб безпека. З чим вас і себе поздоровляю .

За останній рік роботи проекту було зроблено чимало і ще багато чого заплановано. Зокрема мною були оновлені SecurityAlert та інші Секюріті програми.

Також опубліковано багато цікавих статей, уразливостей та досліджень, а також даних про діяльність Українських Кібер Військ.

Багато цікавого ще попереду, тому слідкуйте за новинами.

В даній добірці експлоіти в веб додатках:

• freeSSHd 1.0.9 - Denial of Service (DoS) (деталі)
• Microsoft SharePoint 2019 - NTLM Authentication (деталі)
• ScriptCase 9.12.006 (23) - Remote Command Execution (RCE) (деталі)
• Microsoft Outlook - Remote Code Execution (RCE) (деталі)
• Keras 2.15 - Remote Code Execution (RCE) (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://vetif.gov.ua (хакером M@rAz Ali) - 07.03.2026 - похаканий державний сайт
• https://calvary.kiev.ua (хакером CoupDeGrace) - 04.07.2026
• https://bud-ok.com.ua (хакером CoupDeGrace) - 04.07.2026
• https://dakor.dp.ua (хакером CoupDeGrace) - 04.07.2026
• https://shroud.com.ua (хакерами з chinafans) - 24.07.2026

Відбулися масовані хакерські атаки в США в 2026 році. Зокрема це може бути пов’язано з активністю президента Трампа проти інших країн і відповіддю іноземних хакерів. Як то атака на Венесуелу, погрози країнам сусідам та війна проти Ірану.

1. Багато роботів пилососів Ecovacs були хакнуті в США, раніше ще хакнули роботів пилосмоків DJI Romo.

Зокрема хакнули моделі Ecovacs Deebot X2 у різних містах. Повідомляють як про лайку через спікери роботів, так і про атаки роботів пилососів на людей та собак в будинку.

2. Масштабні витоки персональних даних.

У червні влада штату Техас повідомила про крадіжку даних щонайменше трьох мільйонів водійських посвідчень та номерів паспортів під час кібератаки на систему управління парковими зонами і дикою природою штату.

У липні хакери викрали дані до 7 мільйонів водійських посвідчень. Страхова компанія AssuranceAmerica, яка надає послуги автострахування у понад десяти штатах США, підтвердила масштабний витік персональних даних, що торкнувся 6,99 мільйона людей. Це найбільший за рік випадок розголошення інформації про водійські посвідчення американців.

3. Ще 26-27 липня хакнули понад 30 гідроелектростанцій в штаті Міннесота, більш широке сканування відбулося в семи штатах.

Over 30 US water plants were just hijacked in a massive coordinated cyberattack, completely killing real-time communications and forcing operators onto manual controls. Спецслужби розслідують цю координовану атаку від хакерів, що пов’язані з Іраном.

Щодня з 2005 року повідомляю про уразливості, всім байдуже. І не лише в Україні - західним клієнтам і владі США я також повідомляв про дірки, влада там забивала так само, як у нас. Тисячі державних сайтів були хакнуті чи інфіковані, а всього понад 90000 українських сайтів були хакнуті.

Раніше, 24.03.2013, я знайшов Insufficient Authentication, Full path disclosure, Information Leakage, Cross-Site Scripting, SQL Injection і Abuse of Functionality уразливості на сайті idea.privatbank.ua та 217.117.65.248 - це один сервер.

В той час я вислав ці уразливості банку. Оприлюднив раніше першу частину уразливостей на сайті.

Insufficient Authentication (WASC-01):

http://217.117.65.248/s3/monitoring/report/list
http://217.117.65.248/s3/monitoring/report/list.html

Доступ до цих розділів і ще до одного на https://idea.privatbank.ua заборонений, але доступний на http://217.117.65.248 - якщо зайти на сайт по IP.

Full path disclosure (WASC-13):

Витік шляху на сервері та адреси в LAN в трьох місцях.

Information Leakage (WASC-13):

Витік усього SQL запиту (SQL DB Structure Extraction) в трьох місцях.

Cross-Site Scripting (WASC-08):

Виявив XSS у трьох місцях.

SQL Injection (WASC-19):

Виявив критичні SQL ін’єкції в трьох місцях.

Abuse of Functionality (WASC-42):

Можливий підбір LDAP-логіна керівника через різну відповідь.

ПриватБанк тоді проігнорував їх та не оплатив. Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на idea.privatbank.ua та інших сайтах ПБ.