Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP, имеющем 500 тысяч установок, opennews (?), 13-Дек-20, (0) [смотреть все] кривая настройка вебсервера и уязвимость плагина всё-таки разные вещи именноwat , hgdslvodf (?), 11:51 , 13-Дек-20, (1) –4   // Это доисторический рабочий трюк для сокрытия листинга Сервер просто вернёт этот, InuYasha (??), 11:53 , 13-Дек-20, (3) +10   // Спасибо, hgdslvodf (?), 11:54 , 13-Дек-20, (4)   // Вот только по полному пути файл по-прежнему доступен По-хорошему надо запрещать , Аноним (39), 20:29 , 13-Дек-20, (39) +2   А потом люди ещё удивляются почему php не любят и весь бэк пишут на jvm net etc, Java omnomnom your memory linux (?), 12:47 , 14-Дек-20, (55) –1   Всего то лишь не осилили настроить htaccess или конф nginx, Аноним (63), 20:06 , 14-Дек-20, (63)   А ещё chmod, chown, setfacl, и, для полного счастья - selinux , InuYasha (??), 16:14 , 15-Дек-20, (67)   Это все же вопрос не к php - веб-сервер при неверно заданных разрешениях вернет , Х (?), 08:43 , 15-Дек-20, (65)   Только если у сервера index html настроен в качестве индекс-файла Вообще конечно, Аноним (54), 10:55 , 14-Дек-20, (54) +1   сдаётся, то был плагин-троян, чтобы читать почту нерадивых юзероадминов , Аноним (20), 15:53 , 13-Дек-20, (20) +1   Нахрена в проде вообще генерить ТАКОЙ лог да ещё и в папку в www , InuYasha (??), 11:52 , 13-Дек-20, (2) +6 // WP не даёт ни абстракций ни реализаций для многих полезных вещей Каждый разрабо, hgdslvodf (?), 11:58 , 13-Дек-20, (5) // Не включать детальный лог не включать содержимое по умолчанию и дать пользоват, Аноним (54), 10:53 , 14-Дек-20, (53) +1 // Да мы-то можем Мы потом не можем объяснить щасливому юзверю, как ему получить д, Современные разработчики (?), 16:44 , 14-Дек-20, (56) А как я его тебе скачаю, если он не будет в www , Разработчик (?), 16:00 , 13-Дек-20, (23) +4 // А зачем тебе качать МОИ логи , Аноним (20), 16:01 , 13-Дек-20, (24) +4 // Это не твои логи, это кого надо логи Ты бы до этой новости даже и не узнал бы, , Разработчик (?), 16:06 , 13-Дек-20, (27) +5 я по логам веб-сервера узнал, что все кулхацкеры ищут на моём сайте какой-то вр, Аноним (20), 16:15 , 13-Дек-20, (29) +4 дай им то чего они хотят, Атон (?), 19:32 , 13-Дек-20, (37) +3 Они прямо-таки постигли дзен логирования очистка логов при перезапуске - это ка, YetAnotherOnanym (ok), 12:16 , 13-Дек-20, (7) +20 // Просто цель была другая троян, а не плагин , Аноним (20), 15:56 , 13-Дек-20, (21) +3 А я вот не постиг Про какую АКТИВАЦИЮ плагина они говорят Когда его включают-в, gogo (?), 02:36 , 15-Дек-20, (64) Самое интересное, что проблемы безопасности в таких случаях очень показательны Н, Аноним (9), 14:07 , 13-Дек-20, (9) +8 // Смысл экономии в том чтобы дать минимально допустимое качество , Аноним (11), 14:18 , 13-Дек-20, (11) –1 // Это недопустимое качество , Аноним (20), 15:57 , 13-Дек-20, (22) +2 // Пятьсот тысяч установок Поучи нас еще, какое качество допустимое , Разработчик (?), 16:01 , 13-Дек-20, (25) +5 Снимаю перед Вами шляпу Столько экземпляров трояна поставить , Аноним (20), 16:18 , 13-Дек-20, (30) +2 Ви, таки, непrавильно снимаете шляпу Успешные разработчики снимают её ради того , InuYasha (??), 16:21 , 15-Дек-20, (68) Скоро на раст перепишут и все наладится, Аноним (32), 16:52 , 13-Дек-20, (32) +1 // Боюсь даже представить, какие тупейшие ошибки будут совершать растаманы, пишущие, Аноним (20), 17:26 , 13-Дек-20, (33) +4 Наоборот, ВП главная реклама Имхо, не стоит фантазировать много на счёт пхп Его, Аноньимъ (ok), 02:53 , 14-Дек-20, (44) Да, WP ныне - это почти худшее, что написано на PHP за всё время его существован, Аноним (54), 10:51 , 14-Дек-20, (51) И что думаете если Wordpress перейдет на Rust, что-то изменится в плане уязвимос, Аноним (11), 14:16 , 13-Дек-20, (10) // Новость про PHP и WP, про уязвимости в WP Зачем ты сюда принес раст Чтобы говн, неРастНеСиНеСекта (?), 14:46 , 13-Дек-20, (12) +3 // Дак тут по моему 1,5 поехавших в любой новости вспоминают раст Я вообще не увер, Аноним (13), 14:52 , 13-Дек-20, (13) –1 // Уверен что твой Вордпресс полон дыр , Аноним (11), 15:05 , 13-Дек-20, (15) Он не мой, а общий, Аноним (13), 23:03 , 13-Дек-20, (41) Не все же одному Фракталу тут растофикалии развозить , Аноним (11), 15:02 , 13-Дек-20, (14) Сложность языка повышает порог вхождения Вывод сделаете, или помочь , n00by (ok), 15:07 , 13-Дек-20, (16) +1 // Надо срочно перейти на плюсы, а то руст одних жс-обезьян приманивает Вот тогда , Аноним (17), 15:12 , 13-Дек-20, (17) –1 // Является ли знак , запятая оператором в C Да - 29,56 Нет - 54,01 Узнать резуль, n00by (ok), 15:52 , 13-Дек-20, (19) +1 Лол, ну то такое, может опрос и не среди программистов вовсе Чисто логически мо, Аноним (17), 16:09 , 13-Дек-20, (28) Можно пойти путём исключения Идентификатор Нет Ключевое слово Нет Пробель, Аноним (20), 16:21 , 13-Дек-20, (31) +1 Есть ли в Си синтаксис , Аноньимъ (ok), 02:47 , 14-Дек-20, (43) +2 Хороший вопрос Учитывая отборнейший бред, заложенный в язык, синтаксис в нём по, Аноним (20), 07:53 , 14-Дек-20, (46) +1 Annex A informative Language syntax summary, n00by (ok), 09:30 , 14-Дек-20, (48) так зависит от контекста , Аноним (38), 19:36 , 13-Дек-20, (38) Если попробовать подумать, как работает абстрактная машина и или транслятор, ока, n00by (ok), 09:27 , 14-Дек-20, (47) Да , anonimous (?), 05:30 , 14-Дек-20, (45) +1 У раста нет сложности Вывод сделаешь сам или помочь , Аноним (59), 18:35 , 14-Дек-20, (59) // Сделал Вы придумали, будто бы я заявил у Раста есть сложность , после чего при, n00by (ok), 09:38 , 15-Дек-20, (66) Конечно изменится - нет вордпресса, нет уязвимостей Главное переходить сразу rm , Разработчик (?), 16:05 , 13-Дек-20, (26) +3 Обновление Уязвимостей 5 6, Аноним (20), 15:23 , 13-Дек-20, (18) +4 предназначенном для организации отправки писем через SMTP-сервер С какого-то xе, КО (?), 18:18 , 13-Дек-20, (34) –2 // Вы не ведёте логи вообще ни для чего Другое дело, что прежде, чем вести логи, на, Аноним (54), 10:52 , 14-Дек-20, (52) обновление 5 6 имеет проблемы совместимости с плагином Classic Editor или наобо, Аноним (35), 18:32 , 13-Дек-20, (35) красава, Аноним (38), 19:21 , 13-Дек-20, (36) +1 Просто охренеть даже культурные слова не находятся , Ilya Indigo (ok), 21:18 , 13-Дек-20, (40) +1 Вордпресс вроде целиком из дыр состоит бай десинг Новость как в виндовс нашли т, Аноньимъ (ok), 01:05 , 14-Дек-20, (42) –2 Админю пару сайтов на WP, и стоят эти плагины Фишка в том что используется толь, qweqwe (?), 09:57 , 14-Дек-20, (49) –1 // что, и картинки или документы тоже не выводятся Молодец, все правильно сделал , грмхм (?), 16:47 , 14-Дек-20, (57) +1 Откуда растут руки у этих пейсателей Зато мега-фреймворки, тонны классов, юнит-, Аноним (54), 10:49 , 14-Дек-20, (50) +2 // Типичные будущие растаманы , Аноним (20), 19:18 , 14-Дек-20, (61) Куча красивых слов и пароли в публичном текстовичке , Аноним (20), 19:18 , 14-Дек-20, (62) А чего тут растоманов нет В php тоже нет работы с памятью, а дыр больше чем в л, Аноним (59), 18:33 , 14-Дек-20, (58) +1 // Тссс Не пали источник проблем , Аноним (20), 19:16 , 14-Дек-20, (60) А отключить вывод отладочной информации в установке по умолчанию авторы считают , mickvav (?), 16:48 , 15-Дек-20, (69) 1,2,7,9,10,18,34,35,36,40,42,49,50,58,69

Сообщения

[Сортировка по времени | RSS]

1. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	–4 +/–
Сообщение от hgdslvodf (?), 13-Дек-20, 11:51
>в публично доступном каталоге "/wp-content/plugins/easy-wp-smtp/" кривая настройка вебсервера и уязвимость плагина всё-таки разные вещи. >для каталога не было настроено скрытие списка файлов именно >добавили файл index.html для запрета просмотра списка файлов wat?
Ответить | Правка | Наверх | Cообщить модератору

	3. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+10 +/–
	Сообщение от InuYasha (??), 13-Дек-20, 11:53
	Это доисторический рабочий трюк для сокрытия листинга. Сервер просто вернёт этот /dir/index.htm при обращении к /dir/
	Ответить | Правка | Наверх | Cообщить модератору

	4. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+/–
	Сообщение от hgdslvodf (?), 13-Дек-20, 11:54
	Спасибо
	Ответить | Правка | Наверх | Cообщить модератору

	39. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+2 +/–
	Сообщение от Аноним (39), 13-Дек-20, 20:29
	Вот только по полному пути файл по-прежнему доступен. По-хорошему надо запрещать запись в /www и разрешать только в специально отведённые папки как то /uploads logs и например в нечто plugins_data куда плагины могут сваливать свой рабочий мусор. Тогда все плагины, которые пишут данные куда попало идут лесом, нормальные плагины пишут куда следует, а инструкция по установке или сам установщик вордпреса на сервер делает нужные разрешения на папки. И проблема аналогичная данной решается для всех нынешних и будущих плагинов.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	–1 +/–
	Сообщение от Java omnomnom your memory linux (?), 14-Дек-20, 12:47
	А потом люди ещё удивляются почему php не любят и весь бэк пишут на jvm/.net/etc
	Ответить | Правка | Наверх | Cообщить модератору

	63. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+/–
	Сообщение от Аноним (63), 14-Дек-20, 20:06
	Всего то лишь не осилили настроить .htaccess или конф nginx
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+/–
	Сообщение от InuYasha (??), 15-Дек-20, 16:14
	А ещё chmod, chown, setfacl, и, для полного счастья - selinux. :)
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+/–
	Сообщение от Х (?), 15-Дек-20, 08:43
	Это все же вопрос не к php - веб-сервер при неверно заданных разрешениях вернет файл по пути при любом ЯП. Другое дело, что PHP-сайты часто куда более легковесно настроены, чем все эти ваши явы с их вебом )
	Ответить | Правка | К родителю #55 | Наверх | Cообщить модератору

	54. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+1 +/–
	Сообщение от Аноним (54), 14-Дек-20, 10:55
	Только если у сервера index.html настроен в качестве индекс-файла. Вообще конечно хранить в логах чувствительное содержимое без предупреждения по умолчанию - это полный ппц.
	Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

	20. "Обновление WordPress 5.6. Уязвимость в плагине Easy WP SMTP,..."	+1 +/–
	Сообщение от Аноним (20), 13-Дек-20, 15:53
	> кривая настройка вебсервера сдаётся, то был плагин-троян, чтобы читать почту нерадивых юзероадминов.
	Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема