Polska pod ostrzeżeniem: CERT Polska ujawnił poważne podatności w DobryCMS

Szybko do sedna: Krajowy CERT ogłosił alarm dla wszystkich stron na DobryCMS. Powiem ci szczerze – to poważny temat, bo ta luka dotyczy setek polskich firm i sklepów internetowych.

Podatności typu SQL Injection i Unrestricted File Upload to bomba zegarowa. Atakujący może zdalnie wcisnąć do bazy danych co mu się życzy albo wrzucić plik wykonywalny, który od razu uruchomi serwer. No i co z tego wynika? Pełna kontrola nad stroną.

Jak to działa? Słuchajcie bo to ważne: w wersjach do 2.* oraz w wersji 5.0 wystarczy odpowiednio skonstruować adres URL, żeby wywołać zapytanie SQL i ukraść dane (hasła, numery kart). A jeśli chodzi o przesłanie pliku – mogą wrzucić program, który da im dostęp do całego systemu.

Dobra – do rzeczy. CERT Polska dziękuje grupie ekspertów za szybkie wykrycie tych luk. Podatność typu Blind SQL Injection zgłoszone przez Jarosława Wieczorka i resztę zespołu (Pawła Berusa, Kacpra Gendosza, Karolinę Buchnat). Natomiast Unrestricted File Upload to zasługa Dawida Radzińskiego z RED SECURITY.

Co robić? Najważniejsze: natychmiastowa aktualizacja do wersji powyżej 5.0. Po naszej stronie granicy wiemy że często się o tym zapomina, bo systemy są stare i ciężko je wgrać – ale to jedyna szansa. Szybka aktualizacja to jak zamknąć drzwi przed złodziejem.

Dodatkowo: wzmocnić konfigurację serwera, regularnie robić kopie zapasowe i monitorować logi pod kątem podejrzanych aktywności. To zmienia postać rzeczy – proaktywne działanie to oszczędność później ton pieniędzy (plus stresu).

CERT Polska zapewnia wsparcie techniczne dla administratorów, którzy mają problemy z aktualizacją oprogramowania. Niestety, ale lepiej działać już dziś niż czekać na atak.

Podsumowując: odkrycie tych podatności w DobryCMS to kolejny dowód jak ważne jest dbanie o bezpieczeństwo systemów informatycznych. Atakujący stale szukają luk – dlatego regularne aktualizacje i monitorowanie systemu są kluczowe dla ochrony danych osobowych i finansowych użytkowników oraz firm w całej Polsce.

W przypadku jakichkolwiek pytań lub wątpliwości warto skontaktować się z CERT Polska lub innym dostawcą usług bezpieczeństwa IT. Pamiętajmy, że proaktywne podejście do bezpieczeństwa to najlepsza ochrona przed…

Źródło: null