2SDnjd76ePt
Плагин для WordPress с миллионом установок позволяет внедрять код в уязвимые сайты
Проблема позволяла неавторизованной стороне получить доступ к API, что в итоге приводило к раскрытию конфиденциальной информации и внедрению кода.
Уязвимость CVE-2021-39341 была обнаружена исследовательницей Wordfence Хлоей Чемберленд (Chloe Chamberland) еще в сентябре текущего года. Исправление было выпущено 7 октября 2021 года, так что пользователям плагина OptinMonster рекомендуется обновить его до версии 2.6.5 или новее как можно быстрее.
Маркетинговый плагин OptinMonster используется для интеграции на WordPress-сайты маркетинговых инструментов и системы рассылки. По сути, это инструмент для монетизации и генерации лидов, который развернут на миллионе сайтов благодаря простоте использования и множеству функций.
Чемберленд пишет, что обнаруженный баг позволял любому посетителю таких сайтов извлечь конфиденциальную информацию, внедрить произвольный JavaScript и выполнить другие вредоносные действия.
Дело в том, что возможности OptinMonster зависят от эндпоинтов API, которые обеспечивают бесшовную интеграцию и упрощают процесс работы. Однако реализация этих эндпоинтов не всегда безопасна и особенно это касается /wp-json/omapp/v1/support. Данный эндпоинт может раскрывать такие данные, как полный путь к сайту на сервере, ключи API, используемые для запросов, и многое другое.
Злоумышленник, заполучивший ключи API, получает возможность внести изменения в учетные записи OptinMonster, разместить вредоносный код JavaScript на сайте и так далее. Причем уязвимый сайт будет выполнять такой код каждый раз, когда посетитель активирует элемент (всплывающее окно) OptinMonster. Хуже того, атакующему даже не пришлось бы проходить аутентификацию на целевом сайте для доступа эндпоинту API, так как HTTP-запрос обходил проверки безопасности при определенных, легко выполняемых условиях.
В своем отчете Чемберленд резюмирует, что, в сущности, весь API плагина нуждается в пересмотре. К счастью, с этим согласны и сами разработчики OptinMonster, которые пообещали исправить и другие проблемы API в ближайшие несколько недель.
Пока же пользователям рекомендуется не только обновить плагин до безопасной версии, но и сгенерировать новые ключи API, так как все ключи, которые могли быть украдены, аннулированы разработчиками.
похожие материалы
Platform V SOWA AI от СберТеха поможет бизнесу контролировать и безопасно масштабировать работу ИИ
Российский разработчик ПО СберТех объявляет о выводе на рынок решения Platform V SOWA AI, которое формирует новый уровень безопасности при работе с искусственным интеллектом.
Доверяй, но проверяй: даже если файл подписан Microsoft, доверять ему не всегда можно
В СМИ появилась информация о том, что при участии Microsoft ликвидирована киберпреступная сеть Fox Tempest.
CISO Форум 2026: итоги клубной встречи лидеров информационной безопасности
28 апреля 2026 года в Москве, в Центре международной торговли, состоялся CISO FORUM 2026 - профессиональная площадка для CISO, CIO и архитекторов ИБ, где информационная безопасность обсуждается без маркетинга, на языке реальных кейсов, инцидентов и бизнес-решений.
VPN-ограничения не обрушили аудиторию, но ударили по привычке покупать «на ходу»
Аудитория крупных российских сервисов, ограничивших доступ пользователям с включенным VPN, в апреле почти не изменилась или снизилась в пределах 5%.
Банковскую карту теперь «прикладывают» через чужой телефон
Специалисты обнаружили два новых семейства Android-вредоносов для NFC-relay-атак - DevilNFC и NFCMultiPay.
NVIDIA закрыла 13 уязвимостей в драйверах GPU - часть могла привести к выполнению кода
NVIDIA выпустила майское обновление безопасности для GPU Display Drivers, закрывающее 13 уязвимостей в драйверах для Windows и Linux.
В GitHub признали факт взлома платформы
Веб-сервис GitHub взломали, в результате чего злоумышленники получили несанкционированный доступ к внутренним репозиториям.
Минпромторг усомнился в происхождении российских процессоров
Минпромторг попросил привлекать дополнительных экспертов к проверке российских процессоров «Иртыш» компании «Трамплин Электроникс».
ИИ добрался до цепочек эксплойтов: Cloudflare показала, что изменил Mythos
Cloudflare несколько недель тестировала Claude Mythos Preview от Anthropic на собственном коде и запустила модель более чем на 50 репозиториях.
Будущие инженеры научатся решать отраслевые задачи на базе ПО «Группы Астра»
Национальный исследовательский университет «Высшая школа экономики» (НИУ ВШЭ) и АНО по развитию информационных технологий и цифровых компетенций «Астра Академия» подписали соглашение о сотрудничестве.
