O vulnerabilitate din popularul plugin LiteSpeed Cache pentru WordPress ar putea permite atacatorilor să recupereze module cookie ale utilizatorilor și, eventual, să preia site-uri web.
Problema, urmărită ca CVE-2024-44000, există deoarece pluginul poate include antetul de răspuns HTTP pentru set-cookie în fișierul jurnal de depanare după o solicitare de conectare.
Deoarece fișierul jurnal de depanare este accesibil public, un atacator neautentificat ar putea accesa informațiile expuse în fișier și poate extrage orice cookie-uri de utilizator stocate în acesta.
Acest lucru ar permite atacatorilor să se conecteze la site-urile web afectate ca orice utilizator pentru care cookie-ul de sesiune a fost scurs, inclusiv ca administratori, ceea ce ar putea duce la preluarea site-ului.
Patchstack, care a identificat și raportat defectul de securitate, consideră defectul „critic” și avertizează că are impact asupra oricărui site web care a avut funcția de depanare activată cel puțin o dată, dacă fișierul jurnal de depanare nu a fost curățat.
În plus, compania de detectare a vulnerabilităților și de gestionare a corecțiilor subliniază că pluginul are și o setare Log Cookies care ar putea, de asemenea, să scurgă cookie-urile de conectare ale utilizatorilor dacă este activată.
Google a intentat un proces împotriva a doi dezvoltatori de aplicații pentru implicarea într-o „schemă internațională de fraudă a investițiilor online pentru consumatori” care a păcălit utilizatorii să descarce aplicații Android false din Magazinul Google Play și din alte surse și să le fure fondurile sub pretextul de a promite profituri mai mari.
Persoanele în cauză sunt Yunfeng Sun (alias Alphonse Sun) și Hongnam Cheung (alias Zhang Hongnim sau Stanford Fischer), despre care se crede că au sediul în Shenzhen și, respectiv, Hong Kong.
Se spune că inculpații au încărcat aproximativ 87 de aplicații cripto în Magazinul Play pentru a elimina escrocheria de inginerie socială începând cu cel puțin 2019, peste 100.000 de utilizatori le-au descărcat și ducând la pierderi financiare substanțiale.
„Câștigurile transmise de aplicații au fost iluzorii”, a spus gigantul tehnologic în plângerea sa. „Și schema nu s-a încheiat aici”.
„În schimb, atunci când victimele individuale încercau să-și retragă soldurile, inculpații și confederații lor s-au dublat asupra schemei, solicitând diverse taxe și alte plăți de la victime care se presupune că erau necesare pentru ca victimele să-și recupereze investițiile principale și câștigurile pretinse”.
