Los piratas informáticos están atacando sitios web que utilizan un destacado complemento de WordPress con millones de intentos para explotar una vulnerabilidad de alta gravedad que permite una toma completa del control, dijeron los investigadores.

La vulnerabilidad reside en WordPress Automatic, un complemento con más de 38.000 clientes de pago. Los sitios web que ejecutan el sistema de gestión de contenidos WordPress lo utilizan para incorporar contenido de otros sitios. Investigadores de la firma de seguridad Patchstack revelaron el mes pasado que las versiones 3.92.0 e inferiores de WP Automatic tenían una vulnerabilidad con una clasificación de gravedad de 9,9 sobre 10 posible. El desarrollador del complemento, ValvePress, publicó silenciosamente un parche, que está disponible en las versiones 3.92. 1 y más allá.

Los investigadores han clasificado la falla, rastreada como CVE-2024-27956, como una inyección SQL, una clase de vulnerabilidad que surge de una falla de una aplicación web al consultar correctamente las bases de datos backend. La sintaxis SQL utiliza apóstrofes para indicar el principio y el final de una cadena de datos. Al ingresar cadenas con apóstrofos especialmente ubicados en campos vulnerables del sitio web, los atacantes pueden ejecutar código que realiza diversas acciones confidenciales, incluida la devolución de datos confidenciales, otorgar privilegios administrativos al sistema o alterar el funcionamiento de la aplicación web.

«Esta vulnerabilidad es muy peligrosa y se espera que sea explotada masivamente», escribieron los investigadores de Patchstack el 13 de marzo.

La firma de seguridad web WPScan dijo el jueves que ha registrado más de 5,5 millones de intentos de explotar la vulnerabilidad desde la divulgación del 13 de marzo por parte de Patchstack. Los intentos, dijo WPScan, comenzaron lentamente y alcanzaron su punto máximo el 31 de marzo. La empresa no dijo cuántos de esos intentos tuvieron éxito.

WPScan dijo que CVE-2024-27596 permite a los visitantes del sitio web no autenticados crear cuentas de usuario de nivel de administrador, cargar archivos maliciosos y tomar el control total de los sitios afectados. La vulnerabilidad, que reside en cómo el complemento maneja la autenticación del usuario, permite a los atacantes eludir el proceso de autenticación normal e inyectar código SQL que les otorga privilegios elevados del sistema. Desde allí, pueden cargar y ejecutar cargas útiles maliciosas que cambian el nombre de archivos confidenciales para evitar que el propietario del sitio o otros piratas informáticos controlen el sitio secuestrado.

Los ataques exitosos suelen seguir este proceso:

• Inyección SQL (SQLi): Los atacantes aprovechan la vulnerabilidad SQLi en el complemento WP‑Automatic para ejecutar consultas no autorizadas a bases de datos.
• Creación de usuario administrador: Con la capacidad de ejecutar consultas SQL arbitrarias, los atacantes pueden crear nuevas cuentas de usuario de nivel de administrador dentro de WordPress.
• Carga de malware: Una vez que se crea una cuenta de nivel de administrador, los atacantes pueden cargar archivos maliciosos, generalmente shells web o puertas traseras, al servidor del sitio web comprometido.
• Cambio de nombre de archivos: El atacante puede cambiar el nombre del archivo WP-Automatic vulnerable para asegurarse de que solo él pueda explotarlo.

Los investigadores de WPScan explicaron:

Una vez que un sitio de WordPress se ve comprometido, los atacantes garantizan la longevidad de su acceso creando puertas traseras y ofuscando el código. Para evadir la detección y mantener el acceso, los atacantes también pueden cambiar el nombre del archivo vulnerable WP-Automatic, lo que dificulta que los propietarios de sitios web o las herramientas de seguridad identifiquen o bloqueen el problema. Vale la pena mencionar que también puede ser una forma que los atacantes encuentren para evitar que otros actores malintencionados exploten con éxito sus sitios ya comprometidos. Además, dado que el atacante puede usar los altos privilegios adquiridos para instalar complementos y temas en el sitio, notamos que, en la mayoría de los sitios comprometidos, los delincuentes instalaron complementos que les permitieron cargar archivos o editar código.

Los ataques comenzaron poco después del 13 de marzo, 15 días después de que ValvePress lanzara la versión 3.92.1 sin mencionar el parche crítico en las notas de la versión. Los representantes de ValvePress no respondieron de inmediato a un mensaje en busca de una explicación.

Mientras que los investigadores de Patchstack y WPScan clasifican CVE-2024-27956 como inyección SQL, un desarrollador experimentado dijo que su interpretación de la vulnerabilidad es que se trata de una autorización inadecuada (CWE-285) o una subcategoría de control de acceso inadecuado (CWE-284).

“Según Patchstack.com, el programa es supuesto recibir y ejecutar una consulta SQL, pero sólo de un usuario autorizado”, escribió en una entrevista online el desarrollador, que no quiso utilizar su nombre. “La vulnerabilidad está en cómo verifica las credenciales del usuario antes de ejecutar la consulta, lo que permite a un atacante eludir la autorización. La inyección SQL ocurre cuando el atacante incrusta código SQL en lo que se suponía que eran solo datos, y ese no es el caso aquí”.

Cualquiera que sea la clasificación, la vulnerabilidad es tan grave como parece. Los usuarios deben parchear el complemento inmediatamente. También deben analizar cuidadosamente sus servidores en busca de signos de explotación utilizando los indicadores de datos de compromiso proporcionados en la publicación de WPScan vinculada anteriormente.

El nivel deportivo adicional de Warner Bros. Discovery para Max seguirá siendo gratuito durante un poco más de lo planeado originalmente. según lo informado por Fecha límite. El complemento Bleacher Report Sports se agregó en octubre pasado y, aunque hasta ahora ha estado disponible sin costo para los suscriptores, estaba programado para convertirse en un complemento pago el 29 de febrero de 2024. Sin embargo, el cambio a una tarifa mensual de $ 9,99 se ha pospuesto unos meses mientras Warner Bros. Discovery resuelve algunos problemas técnicos.

«El complemento B/R Sports seguirá estando disponible para los suscriptores de Max durante unos meses más a medida que finalicemos algunas integraciones tecnológicas que garantizarán una experiencia de cliente más fluida con nuestros socios de plataforma», dijo el portavoz de Max, Jeff Cusson. en una declaración a El borde.

Arturia acaba de lanzar un nuevo complemento multiefectos llamado Refract y, mejor aún, es gratuito hasta el 4 de enero. Refract es un efecto basado en unísono que apila voces para crear paisajes sonoros únicos, lo que podría ser de gran ayuda para los diseñadores de sonido o cualquiera que busque añade un poco de dinamismo textural a sus temas.

Este es un complemento de efectos múltiples, por lo que el efecto al unísono se puede aprovechar para crear varios algoritmos de efectos de modo diferentes. Puede duplicar una señal hasta ocho veces y cada una obtiene su propia voz estéreo. Esto permite el movimiento entre “vástagas sin filtrar hasta un sonido amplio y potente”. Arturia dice que cada uno de los efectos integrados se puede combinar para crear «un camino de dispersión que se ajuste a tu imaginación más loca». Ya lo veremos.

La interfaz de usuario parece colorida y divertida, como suele ser el caso de los enchufes Arturia, y puedes ajustar fácilmente las voces, los filtros, el LFO y otras métricas. También hay una gran cantidad de ajustes preestablecidos que ilustran las «capacidades multiefectos» del complemento. Algunos de estos ajustes preestablecidos ofrecen un efecto de retardo, mientras que otros incluyen distorsión o coro al unísono.

Los complementos gratuitos son una especie de tradición durante la temporada navideña, y siempre es bueno ver caer uno más. Sin embargo, no te duermas con esta descarga. Sólo es gratis hasta el 4 de enero, momento en el que el precio aumenta a 100 dólares.

Estas ya han sido unas vacaciones bastante importantes para Arturia, ya que la semana pasada se lanzó su tan esperado paquete de sintetizadores V Collection X. El sintetizador de hardware MiniFreak también recibió una sólida actualización del sistema a principios de mes.

Lo que necesitas saber

• Microsoft Excel viene con el simulador espacial multijugador masivo en línea (MMO) EVE Online como complemento.
• Los entusiastas de Excel se sumergieron en fantasías de juegos de rol en lo profundo de un universo persistente el fin de semana pasado en Las Vegas, durante la final del Campeonato Mundial Microsoft Excel 2023 a través del complemento.
• Algunas de las actividades incluyeron la recopilación de datos sobre las operaciones de mercado, así como la extracción de asteroides dentro del complemento de Excel.

---

¡Chico! No bromeaban cuando dijeron que todo el trabajo y el juego convertían a Jack en un niño aburrido. Quien dijo Microsoft Excel ¿Sólo sirve para hacer números? En 2022 en EVE Fanfest, se anunció que Microsoft Excel obtendría un complemento interesante del simulador espacial multijugador masivo en línea (MMO) EVE Online.

Para contextualizar un poco, debutó por primera vez en 2003, EVE Online permite a los jugadores sumergirse en fantasías de juegos de rol en lo profundo de un universo persistente. La misma alegría y diversión se compartió entre los entusiastas de Excel el fin de semana pasado en Las Vegas, durante la final del Campeonato Mundial de Microsoft Excel 2023.

Tras el debut de HDR10+ GAMING en el juego de disparos y saqueadores de Nexon, The First Descendant, ahora hay disponible un complemento de Unreal Engine 5 para todos los desarrolladores de juegos para facilitar la integración.

Bill Mandel, codirector de HDR10+ Technologies LLC, declaró:

Nos complace ofrecer este nuevo complemento de Unreal Engine directamente a estudios y desarrolladores para permitir un acceso más rápido a juegos HDR10+ en monitores y televisores certificados. Creemos que este nuevo complemento ampliará aún más la adopción de HDR10+ GAMING en toda la industria.

Como algunos ya sabrán, HDR10+ es el formato equivalente a Dolby Vision. Mientras que el HDR10 básico solo ofrece metadatos estáticos, lo que significa que la información de alto rango dinámico es fija para el vídeo completo y no se adapta a las características específicas de la pantalla del usuario, HDR10+ y Dolby Vision permiten metadatos dinámicos, lo que permite ajustar los niveles de brillo en un fotograma. -por cuadro. Además, los metadatos dinámicos permiten una calibración adecuada incluso para pantallas HDR con capacidades de brillo más bajas, evitando la engorrosa necesidad de configuraciones manuales del usuario.

Ambos han sido durante mucho tiempo problemas para los aficionados al HDR, lo que ha llevado a una larga serie de malas implementaciones, especialmente para los juegos de PC (que a veces ni siquiera son compatibles con HDR hasta que los mods agregan esa funcionalidad).

HDR10+ GAMING tiene como objetivo solucionar todo eso con este complemento, proporcionando certificación para dispositivos basada en un protocolo estándar para resolver este problema potencial y permitiendo una experiencia de juego HDR premium tanto para los desarrolladores como para los jugadores. El grupo de Tecnologías HDR10+ ha descrito estos beneficios clave:

• Calibración de pantalla HDR automática y sin complicaciones
• Representación dinámica optimizada de juegos HDR para una variedad de pantallas
• Baja latencia
• Reducción de tiempo y recursos de QA. Prueba de control de calidad única para todas las pantallas compatibles con HDR10+ GAMING

Actualmente, el complemento solo es compatible con PC equipadas con una GPU NVIDIA RTX o GTX serie 16, ya que utiliza el último controlador NVIDIA HDR NVAPI SDK. En ese momento, NVIDIA dijo:

HDR10+ es especialmente beneficioso ya que los juegos y otros contenidos pueden consultar la información de color y luminancia HDR directamente desde la pantalla para realizar un mapeo de tonos dinámico que es óptimo para las capacidades HDR de cada pantalla, lo que ayuda a reproducir fielmente la intención artística de los creadores de contenido y ofrecer consistentemente excelentes experiencias HDR. para jugadores de GeForce.

Los desarrolladores de juegos interesados ​​en utilizar el complemento HDR10+ GAMING también deben tener en cuenta que funciona de inmediato sólo con Unreal Engine 5.2.1 y 5.3.0; otras versiones requerirán crear su propio complemento basado en el código fuente.

No hace falta decir que, ya sea usuario o desarrollador, deberá tener una pantalla GAMING HDR10+, como los monitores Samsung de la serie Odyssey 7 y superiores y los modelos de televisores de la serie Q70 y 120 Hz superiores del año pasado y este año.

Dolby había lanzado previamente complementos de Unreal Engine para sus tecnologías Vision y Atmos a finales de junio. Esperemos que los desarrolladores de juegos aprovechen estos complementos para agregar metadatos dinámicos en juegos futuros, haciendo que los juegos HDR sean lo que deberían haber sido en primer lugar.

Sony ha presentado nuevas versiones «más pequeñas» de sus consolas PlayStation 5 y PlayStation 5 Digital, que se lanzarán en noviembre en los EE. UU. junto con un accesorio de unidad de disco opcional para los compradores que deseen actualizar su máquina sólo digital en una fecha posterior.

Se dice que la consola delgada PS5 recientemente revelada marca una disminución del 30 por ciento en volumen en comparación con el modelo PS5 anterior (y una reducción de peso del 18 por ciento y 24 por ciento para la edición estándar y digital respectivamente), y luce un diseño con dos paneles brillantes. en los paneles superior y dos inferiores que conservarán el aspecto mate de la máquina original.

El cuadrante inferior izquierdo es donde encontrará el nuevo accesorio de unidad de disco Ultra HD Blu-ray si opta por la versión estándar de la máquina. La versión sólo digital incluye un panel extraíble que permitirá a los compradores agregar la unidad, que cuesta £100/€120/$80 adicionales, en caso de que quieran una versión capaz de reproducir medios digitales en un momento posterior.

Para ver este contenido, habilite las cookies de orientación.

Administrar la configuración de cookies

Y ese tampoco es el único extra opcional; Cualquiera que quiera sostener la nueva PlayStation 5 verticalmente deberá comprar un soporte vertical delgado para PS5 por £ 25/€ 30/$ 30 adicionales.

La nueva PlayStation 5 de Sony costará £480/€550/$500 para la versión con unidad de disco, mientras que la edición digital sin unidad tiene un precio de £390/€450/$450 (ambas cuentan con 1TB de almacenamiento). Hasta ahora, Sony sólo se ha comprometido a un lanzamiento en noviembre en los EE. UU. (no hay una fecha de lanzamiento específica, pero presumiblemente llegará a tiempo para el Black Friday) y luego «se lanzará globalmente en los próximos meses». La compañía también señala que la nueva versión será la única opción disponible una vez que se agote el inventario del modelo actual de PS5.

El anuncio de hoy no es del todo inesperado, por supuesto; Los rumores de que se estaba preparando una PS5 más pequeña comenzaron a circular a fines del año pasado y, lo que es más inesperado, Microsoft hizo referencia directamente al modelo en julio, en un expediente judicial presentado como parte de su batalla legal con la Oficina Federal de Comercio de EE. UU. Comisión sobre su acuerdo con Activision Blizzard.

Mientras Mentiras de PLa versión de Pinocho ya está equipada con un pequeño arsenal de armas que se utilizan para abrirse camino a través de hordas de títeres asesinos, uno de sus rasgos más singulares es su brazo de la Legión. Legion Arm, un apéndice de robot que puede equiparse con una variedad de modificaciones y piezas, puede que no pueda nivelar a un jefe por sí solo, pero puede hacer que sofocar el aumento del autómata sea mucho más fácil. Comenzando con una simple habilidad Falcon Punch, eventualmente querrás desbloquear algunas de Mentiras de PEs más útil Legion Arms y, para hacerlo, querrás desenterrar algunos Legion Plugs. Estos materiales individuales se pueden encerrar en el hombro de Pinocho para otorgarle diferentes extremidades, cada una con una habilidad única. Si estás buscando desesperadamente rastrear estos elementos, te cubro con esta práctica guía sobre la ubicación de cada complemento de Legion. Mentiras de P.

Vale la pena señalar que, dado que los Legion Plugs solo se pueden usar para desbloquear nuevos Legion Arms, no hay tantos para encontrar. No los verás repartidos en abundancia como los calibres Quartz o Legion, ya que solo hay un puñado de armas en Mentiras de P. Los enchufes suelen estar escondidos fuera de los caminos habituales o adjuntos a un enemigo de élite particularmente brutal, así que prepárate para ganártelos.

¿Dónde están los enchufes de la Legión en las mentiras de P?

Hay cuatro complementos de Legion en total Mentiras de P dispersos por todo Krat, cada uno de los cuales te permite crear un único brazo de la Legión de tu elección. Puedes encontrarlos bastante pronto Mentiras de Ppero no esperes que surja ninguno antes de derrotar al Parade Master y descubrir el Hotel Krat.

• Capilla de la Catedral de San Frangélico: Una vez que hayas escalado el enorme edificio y hayas evitado los charcos de corrupción ácida por todas partes, eventualmente tendrás la oportunidad de patear un brasero desde la repisa sobre la que se encuentra. Esto encenderá los pisos envenenados, haciéndolos más fáciles de atravesar. También te pondrá a poca distancia de un Legion Plug. Justo después de empujar el fogón dorado, deberías ver una palanca. Tira de él para invertir la dirección de la rueda hidráulica cercana, creando efectivamente un ascensor que te llevará unos pisos desde abajo. Justo después de pasar la palanca, deberías poder mirar hacia abajo y ver una plataforma muy pequeña que conduce a una abertura. Utilice el ascensor que ahora se eleva para llegar al mismo nivel que la plataforma y salte al nicho oculto. Habrá dos enemigos débiles custodiando un cofre, así que una vez que hayan sido eliminados, ábrelo y reclama tu premio.
• Entrada de la calle Rosa Isabelle: Cuando llegues a la Casa Abandonada (la sabrás porque está conectada a la calle con un puente de aspecto industrial), puedes dirigirte a uno de los niveles más bajos de la estructura para encontrar tu Legion Plug. Puedes llegar a él atravesando un agujero en la habitación lateral y siguiendo las escaleras hasta llegar a una bóveda que Pinocho puede abrir fácilmente. Con el nuevo material en tu poder, ten cuidado con los Puppet Babies y las Exploding Damsels, son mucho más letales de lo que cabría esperar.

Relacionado: ¿Deberías enviar a Alidoro al Hotel Krat o a Venigni? Trabaja en Mentiras de P

• Gran Galería de Exposiciones: Aproximadamente a la mitad de este lugar, te toparás con una habitación con un enorme vagón de tren exhibido con orgullo en el medio. Una vez que estés aquí, sabrás que estás en el lugar correcto. Mire al lado izquierdo de la habitación (en relación con el lugar por donde entró por primera vez) y debería encontrar un tramo de escaleras que conducen hacia arriba. Síguelos y mata al enemigo de élite que guarda el cofre en la esquina que alberga tu Legion Plug. No es una pelea inmensamente difícil, pero ella es increíblemente rápida y usa largas series de combos para reducir tu resistencia, por lo que recomendaría esquivar en lugar de bloquear.
• Estación central de Krat: Estamos de vuelta en la Estación Central, aunque esta vez es aún más oscura y retorcida gracias a la Corrupción y la Enfermedad de Petrificación que se propaga por ella. Cuando vuelvas a salir a las calles de Krat, no te llevará mucho tiempo encontrarte con un bruto descomunal golpeando una puerta. Él es tu objetivo y tendrás que matarlo para obtener tu Legion Plug y desbloquear el camino a seguir. Ten cuidado, este Elite golpea como un camión de martillos, así que prepárate para morir unas cuantas veces si estás decidido a bloquear y proteger perfectamente sus ataques. Esquivar suele ser más eficiente, pero su alcance y sus ataques de barrido suelen ser suficientes para derribarte. Dado que es un supuesto «monstruo» y no un títere completo, es susceptible al daño por fuego, lo que puede ser una ventaja útil si la necesitas.

Una vez que tengas un Legion Plug en tu poder, querrás usar un Stargazer para teletransportarte de regreso al Hotel Krat y dirigirte a la esquina de Venigni en la planta baja. Usa el dispositivo a su izquierda para crear un nuevo brazo para ti. Vale la pena señalar que si tienes algún tipo de material de mejora de Legion Arm en tu inventario, la máquina emitirá una luz dorada, indicando que algo se puede mejorar.

Lies of P tiene brazos de legión que no requieren enchufe

Ahora esos son los cuatro Legion Plugs que puedes desbloquear en Mentiras de P pero dos de tus Legion Arms en realidad no requieren que se fabriquen. Tu actualización inicial, denominada Fulminis, se puede desbloquear derrotando al Scrapped Watchman al principio del juego, lo que te recompensará con la batería de almacenamiento sobrecargada. Este objeto único se lo puedes entregar a Eugénie en el Hotel Krat y ella lo usará para crear el devastador miembro que golpea.

Relacionado: Explicación de las diferencias entre motividad y técnica en mentiras de P

Poco después de esto, en la fábrica de Venigni, el amplificador de llama de alta potencia se puede obtener derrotando al imponente robot conocido como The King’s Flame, Fuoco. Este objeto también se le puede dar a Eugénie para que pueda construir el Flamberge, una variante que puede escupir un torrente de fuego como un lanzallamas y posiblemente el brazo de Legion con menor efecto en el juego. ¡Hurra!

En cuanto al orden deberías desbloquearlos, esa es una guía para otro día pero fuertemente Recomendamos elaborar primero la cuerda del títere. El gancho de agarre es fácilmente el mejor brazo de Legion del juego y puede hacer que ciertos encuentros tengan una dificultad insignificante. Si lo llevas al nivel máximo, incluso puedes lanzar un ataque aéreo impresionantemente elegante que puede matar a algunos mobs de un solo golpe. ¡También se ve genial!

Si estás buscando más sobre el juego, consulta nuestra guía para obtener armas de jefe en Lies of P.