В сети появились PoC-эксплоиты для свежей цепочки уязвимостей wp2shell, обнаруженной в ядре WordPress. Эти баги позволяют неаутентифицированному атакующему выполнить произвольный код на сайте с чистой установкой WordPress, и для атаки не нужны дополнительные плагины. ИБ-исследователи предупреждают, что уже обнаружили признаки эксплуатации wp2shell в реальных атаках.
Хакер взломал сервис генерации музыки Suno и получил доступ к исходному коду проекта, который пролил свет на то, откуда компания черпала обучающие данные. Судя по украденным данным, разработчики массово выкачивали музыку, тексты песен и подкасты с YouTube Music, Deezer, Genius и многих других платформ.
Для подписчиковСобрал для тебя свежие проекты: от мегабыстрого сканера веб-приложений до анализатора бинарников и защиты от слопсквоттинга. Залетай и смотри, что пригодится в твоих исследованиях!
ФБР задержало 21-летнего жителя Флориды Зайра Уилкинса (Zyaire Wilkins), которого обвиняют в распространении малвари через Steam. По версии следствия, зараженные игры помогли хакерам скомпрометировать около 8000 систем и похитить криптовалюту на сумму не менее 220 000 долларов США.
Разработчик из Северной Кореи под псевдонимом Tyler Knapp около месяца проработал над основным кодом кошелька MetaMask. При этом, информация о его связях со страной уже публиковалась в специальном реестре lazarus.group около года назад.
Компания Coca-Cola временно остановила производство продукции Fairlife на всех предприятиях в США из-за вымогательской атаки. Известно, что злоумышленники получили доступ к части инфраструктуры молочного бренда компании, включая системы, связанные с производством.
Исследователь под ником tokay0 обнаружил уязвимость в облачной инфраструктуре компании SharkNinja. Сертификат, извлеченный из робота-пылесоса Shark RV2320EDUS, позволил исследователю атаковать другие модели в том же регионе AWS и выполнять команды с правами root, управлять движениями роботов, получить доступ к камерам, картам домов и узнать пароли от Wi-Fi жертв.
Разработчик 7-Zip выпустил версию 26.02, которая устраняет уязвимость удаленного выполнения кода. Атакующие могли эксплуатировать этот баг с помощью специально подготовленных архивов и запускать произвольный код с правами жертвы.
Для подписчиковКогда в домене есть настроенный WSUS, но его DNS-имя можно занять, а в AD CS доступен шаблон с серверной аутентификацией и произвольным именем, это превращается в путь к захвату контроллера: выпускаем TLS-сертификат на поддельный сервер обновлений, поднимаем свой WSUS и доставляем нагрузку как легитимное обновление.