Популярный скрипт jQuery File Upload, как оказалось, может содержать в себе опасность для тысяч веб-проектов. Специалист по IT-безопасности Ларри Кэшдоллар (Larry Cashdollar) обнаружил, что он содержит брешь, которая позволяет загружать на целевой сервер различные файлы: установщики бэкдоров, скрипты, веб-оболочки для запуска сторонних программ и так далее.

pixabay.com

Плагин jQuery File Upload используется в CMS-платформах, расширениях WordPress и Joomla и других проектах. Кэшдоллар насчитал порядка 7,8 тысяч различных сервисов с ним только на GitHub. В них плагин используется в оригинальном или модифицированном варианте. jQuery File Upload позволяет загружать фото и видео, поддерживает функцию drag-and-drop, загрузку нескольких файлов и другие возможности.

Проблема, как оказалось, тянется с 23 ноября 2010 года и до наших дней. А с 2015 года эта уязвимость активно эксплуатируется хакерами. Суть её проста — в Apache Web Server версии 2.3.9 разработчики отключили по умолчанию поддержку правил из файла .htaccess. Этот файл хранит разрешения для загружаемых объектов, однако на тот момент было принято решение прописывать данные иначе.

Разработчик Себастьян Чан (Sebastian Tschan), также известный как Blueimp, выпустил обновление jQuery File Upload под номером 9.22.1, которое устранило эту уязвимость. В более ранних версиях скрипт обращается именно к .htaccess за нужными параметрами, потому они считаются небезопасными.

pixabay.com

При этом Кэшдоллар заявил, что пока ещё тысячи веб-проектов содержат баг. Для исправления нужно обновить его на всех серверах, подверженных уязвимости, а это потребует ресурсов и времени. По словам специалиста по информационной безопасности, он проверил более тысячи проектов на GitHub, но лишь в 36 случаях уязвимости не было.

Разработка браузера Opera продолжается, и недавно компания выпустила предварительную версию 50.0.2743.0, в которой появилась функция сохранения веб-страниц в качестве PDF-файлов и многие другие улучшения, в особенности касающиеся HiDPI-дисплеев, с высоким значением плотности пикселей.

Хотя и ранее в веб-обозревателе была доступна возможность сохранять веб-страницы в PDF-файлы при помощи диалогового окна печати, компания Opera Software добавила более простой способ добиться этого результата через O-Меню. Функция, как и следовало бы ожидать, позволяет сохранять страницы для последующего офлайн-чтения. Плюс такого способа в том, что конечный файл получается меньше, чем скриншот в формате PNG, не говоря уже о возможности копирования и вставки текста из PDF.

Разработчики отмечают, что конечный файл будет использовать многие преимущества формата PDF. Впрочем, если пользователь хочет печатать в последующем сохранённый PDF-файл, Opera Software рекомендует полагаться на старый диалог печати, чтобы проконтролировать отступы, заголовки и другие особенности документа.

Другой функцией предварительной версии Opera Developer 50.0.2743.0 являются дополнительные улучшения для экранов высокого разрешения на платформе Windows, а также поддержка операционной системы Apple macOS X High Sierra 10.13 — пользователи более не будут сталкиваться с аномальной нагрузкой CPU при использовании браузера. Недавно представленная функция Snapshot тоже была доработана при отображении в Opera документов PDF. Стоит отметить, что актуальная стабильная сборка Opera — 48.0.2685.39, так что придётся запастись терпением, чтобы дождаться появления указанных возможностей в финальных версиях обозревателя.

Спустя год с момента анонса проекта Quantum — «движка» для браузера Firefox — разработка наконец утратила статус закрытого тестового решения. Трансформировалась она в бета-версию Firefox под номером «57» — инструмент для веб-сёрфинга принципиально нового уровня. И чтобы обособить его на фоне прежних версий, сборке Firefox 57 было присвоено отдельное имя. И имя ему — Firefox Quantum. 

Firefox Quantum в сравнении с прошлогодней 52-й версией Firefox демонстрирует двукратный прирост в быстродействии по всем фронтам. На данном этапе браузер доступен лишь в виде тестового приложения: оценить преимущества Firefox Quantum смогут как пользователи ПК, так и владельцы мобильных гаджетов под управлением ОС Android и iOS. Полноценный же релиз намечен на 14 ноября 2017 года. 

По заявлению представителей Mozilla рендеринг веб-контента в Firefox Quantum происходит с задействованием сразу нескольких ядер процессора, что экономит заветные секунды при отображении тяжёлых веб-страниц. Претерпевший глобальные улучшения CSS-движок и отлаженный алгоритмом работы с несколькими вкладками (открытая в данный момент вкладка имеет приоритет при загрузке над той, которую вы не просматриваете) делают Firefox Quantum по-настоящему комфортным и предпочтительным способом погружения в Сеть. Дополняют перечень индивидуальных особенностей интерфейс Photon с адаптацией под дисплеи с высоким значением DPI, а также автоматическое масштабирование с учётом особенностей сенсорного ввода.

Ключевым же преимуществом Firefox Quantum как над одноимённым предшественником, так и над ближайшими конкурентами, значится более щадящее использование браузером оперативной памяти.

«Firefox Quantum воспринимается всеми значительно быстрее, но при этом задействует на 30 % меньше ОЗУ,» — написал вице-президент Mozilla, ответственный за продвижение Firefox.  

Именитые компании из мира высокой моды, известные своими предметами роскоши, одеждой класса «люкс» и стильными аксессуарами с весьма солидным ценником, начинают приобщаться к интернет-торговле. Прежде для приобретения продукции той же Louis Vuitton необходимо было обратиться к магазинам-посредникам или же прийти по адресу в один из магазинов вашего города. Теперь же консорциум производителей премиум-продукции готовится к запуску собственной интернет-площадки. 

Вместе с Louis Vuitton место на сайте для организации прямых продаж товаров через Всемирную сеть выделят для Bulgari, Givenchy, Christian Dior, Fendi и ещё двум десяткам модных брендов. Все они принадлежат французской транснациональной компании LVMH, которая намерена открыть сайт и выпустить мобильное приложение в июне этого года.

Сайт под названием 24 Sèvres и одноимённое программное обеспечение для смартфонов/планшетов, рассчитанные на быстрый и удобный шопинг, будут предлагать посетителям лишь женские коллекции. На упомянутой веб-странице авторы проекта планируют изначально разместить продукцию по меньшей мере 20–30 из 70 брендов, правами на которые владеет LVMH.

Доступные для заказа посредством онлайн-сервиса товары будут доставляться из ближайших магазинов, имеющих физический адрес. Доставку, в том числе и международную, руководство  LVMH намерено осуществлять с помощью курьерской службы.  

Проекты с открытым исходным кодом делают для того, чтобы плодами упорного труда одних разработчиков могли воспользоваться и другие. Работа программного обеспечения категории «open-source» благодаря энтузиастам-добровольцам может быть отлажена в кратчайшие сроки за счёт доступа к исходному коду и возможности корректировки его ошибок. 

Компания Google имеет в своём распоряжении огромное число работ, относящихся к разделу open-source. Столь ценный для разработчиков ПО архив нуждался в систематизации, которая позволила бы сделать его более востребованным и полезным. И вот Google наконец запустила сайт, на котором собраны все её проекты с открытым исходным кодом.

opensource.google.com

Единый веб-ресурс теперь предоставляет посетителям страницы доступ к базе Google Open Source, включая Android, Chromium и Go. Всего же на opensource.google.com насчитывается свыше 2000 проектов. 

Кроме того, Google предлагает ознакомиться и с прежде недоступной информацией: внутренней документацией по опубликованным инициативам, включая сведения об этапах создания и выпуска программного обеспечения, его последующей поддержке и многое другое.

Для загрузки доступна новая версия популярного браузера Opera для персональных компьютеров, которая характеризуется увеличенной скоростью работы.

Веб-обозреватель может похвастаться наличием технологии мгновенной загрузки страниц. В её основе лежит алгоритм, позволяющий браузеру предугадывать веб-сайт, адрес которого вводит пользователь. Загрузка соответствующей страницы начинается в фоновом режиме ещё до нажатия клавиши ввода.

Кроме этого, каждый раз при поиске той или иной информации с помощью адресной строки браузер будет загружать в фоне наиболее релевантные для пользователя страницы. Всё это приводит к существенному повышению скорости работы программы.

Утверждается также, что новая версия Opera запускается на 13 % быстрее предыдущей. В целом, производительнее стал сам программный движок браузера.

«Такие показатели стали возможными благодаря технологии оптимизации программы компилятором (Profile Guided Optimization), которая способствует значительному повышению скорости работы ПО на Windows. С помощью PGO Opera может обрабатывать компилированные данные быстрее путём выбора наиболее важных сценариев, при этом компилятор способен определять важность того или иного кода», — заявляют разработчики. 

Вся актуальная информация об успехах исследовательских программ и научных проектов, финансируемых NASA, отныне будет собрана на портале data.nasa.gov. О запуске нового веб-ресурса, который станет Меккой для любителей астрономии и просто увлечённых вопросами освоения космоса, на днях сообщили уполномоченные представители космического агентства. 

Таким решением NASA преследовало цель сделать важные научно-технические публикации, на которые учёным выделяются бюджетные средства, в одночасье доступными всем без исключения слоям населения. К тому же единая база данных по космическим исследованиям позволит существенным образом облегчить поиск нужной информации.

data.nasa.gov

«Через открытый доступ и за счёт инновационных технологий мы предлагаем мировому сообществу присоединиться к нам в изучении Земли, воздуха и бескрайнего космического пространства», — пояснила заместитель руководителя NASA Дава Ньюмэн (Dava Newman). 

Архив, именуемый PubSpace, включает в себя оригинальные научные статьи, написанные в рамках спонсируемых NASA проектов. Все выкладываемые для ознакомления материалы на сайте предлагаются на некоммерческой основе, то есть абсолютно бесплатно. Файлы будут доступны для загрузки в течение года с момента публикации оригинального исследования. 

Порой казалось бы простые и даже бесполезные разработки могут сыскать успех ввиду своей креативности. Это и случилось с детищем программиста из Великобритании, известного интернет-сообществу под виртуальным именем «fediaFedia». Плодом его работы стал сайт FakeUpdate, функциональность которого до безобразия проста, но суть — весьма оригинальна. 

Если вы хотите найти повод, чтобы отлучиться на некоторое время от работы, или же просто разыграть коллег/друзей, то достаточно осуществить в браузере переход на упомянутый выше веб-ресурс. В первом случае будет необходимо как можно скорее готовиться к выходу, а во втором — наблюдать за реакцией со стороны. 

Всё дело в том, что FakeUpdate способен визуально имитировать обновление операционной системы, выводя на дисплей динамическую картинку с необходимым содержимым. Так, нажав в окне браузера клавишу «F11» для перехода в полноэкранный режим, не слышавший про существование данного сервиса будет крайне удивлён или даже напуган внеочередным обновлением рабочей системы. 

fakeupdate.net

fakeupdate.net

И хотя возможности FakeUpdate весьма ограничены, автор идеи продумал и нестандартную реакцию сайта на нажатие клавиш «Space» и «Enter», к которым интуитивно обращаются многие пользователи в подобных ситуациях. В этом случае прежняя картинка с двигающимся к условной цели индикатором загрузки сменится на «синий экран смерти».  

geektyper.com

Что делает интернет-пользователь первым делом после установки нового браузера? Как правило, в списке приоритетных задач у многих значится скорейшая установка расширений, позволяющих раз и навсегда избавиться от назойливой рекламы и всплывающих баннеров. Занимавший некогда пост генерального директора в компании Mozilla Брендан Айк (Brendan Eich) предложил собственное альтернативное решение для всех раздражённых обилием рекламы в Сети. Речь идёт о приложении под названием Brave — новом браузере с открытым исходным кодом на базе Chromium, которое должно заинтересовать не только встроенным блокировщиком рекламы, но и реализованной в проекте коммерческой моделью.

Правда, стоит отметить, что избавление от рекламы в Brave носит весьма условный характер: всплывающие окна и контекстная реклама, которая появляется при запросах в поисковике и переходах на различные веб-ресурсы, скажем, в Google Chrome или FireFox, действительно будет заблокирована. Однако на её месте, хоть и в куда меньших количествах, Brave автоматически разместит собственные рекламные объявления. 

Страница слева открыта при помощи Brave

Подобная концепция хоть и может вызвать недоумение у читателей, однако господин Айк разъяснил ключевые преимущества своего детища и главные отличия от продукции конкурентов. Прежде всего, по словам разработчика, Brave обеспечит солидный прирост (якобы даже в несколько раз) в скорости загрузки веб-страниц за счёт блокировки всей базовой рекламы. А отображение собственной рекламы не должно стать обременительным фактором ввиду предложенной модели разделения прибыли от показа таких объявлений. Согласно ей, 55 % от заработанных на рекламе денег получит непосредственно издатель, 15% — поставщик объявлений, 15 % оставят себе разработчики Brave, а на остаток — от 10 % до 15 % — может рассчитывать сам пользователь, кликавший на альтернативную рекламу. 

Приложение Brave выйдет до конца этого года как на настольных системах с Windows и OS X, так и обзаведётся версией для мобильных устройств с Android и iOS. 

Роскомнадзор сообщил о выполнении сайтом reddit требования прекратить доступ к странице с контентом, нарушающим законодательство РФ. Поэтому ведомство отменило своё предписание операторам связи о блокировке страницы сайта reddit.

Как указано на стене ведомства в социальной сети «ВКонтакте» «13 августа от администрации ресурса на „горячую линию“ Федеральной службы поступило письмо, в котором сообщается о прекращении доступа на территории России к запрещенной информации. Выполнение требования Роскомнадзора подтверждено проведенной проверкой. В связи с этим страница исключена из Реестра противоправной информации».

О возможной блокировке страницы ресурса reddit, содержащей информацию о выращивании наркосодержащих растений, стало известно несколько дней назад. Решение о блокировке страницы reddit было принято Федеральной службой РФ по контролю за оборотом наркотиков (ФСКН) в связи с тем, что размещение подобной информации в Интернете противоречит российскому законодательству.

Как утверждают в Роскомнадзоре, в адрес администрации ресурса неоднократно направлялись уведомления с требованием удалить запрещенную информацию. Однако никаких шагов ресурс не предпринял.

«Мы допускаем, что в период августовских отпусков кто-то слишком расслабился, но это не должно являться причиной, чтобы рисковать читательской аудиторией», — цитирует bbc.com представителя пресс-службы ведомства, посоветовавшего читателям обратиться к администрации с просьбой проверить почту, «иначе из-за технических особенностей ряд операторов может заблокировать весь сайт».

Как оказалось, ставшая предметом конфликта статья уже удалялась этим сайтом по предписанию Роскомнадзора. «Учитывая, что данная противоправная статья два года назад по уведомлению Роскомнадзора уже удалялась с одной из страниц reddit, а потом появилась на другой, рассчитываем, что администрация ресурса и впредь будет прислушиваться к требованиям регулирующих органов России в интересах многочисленной российской аудитории», — пишет ведомство, выразившее благодарность всем, «кто своей активностью в Сети побудил администраторов reddit прислушаться к Роскомнадзору».

Критические уязвимости, обнаруженные в популярной системе управления сайтами WordPress, поставили под угрозу миллионы сайтов по всему миру, сообщает портал Ars Technica.

Две серьёзные уязвимости, позволяющие злоумышленникам взломать любой сайт под управлением WordPress, были выявлены финской компанией Klikki Oy. Благодаря им хакеры могут получить контроль над административной панелью и даже над веб-сервером, на котором запущен WordPress. 

Hoch Zwei/Corbis

Под угрозой, в первую очередь, оказалась последняя версия системы — WordPress 4.2. Обе уязвимости принадлежат к классу межсайтового скриптинга (XSS) и связаны с ошибками в секции комментариев.

Для того чтобы получить контроль над сайтом, хакерам достаточно скопировать вредоносный код в секцию комментариев любого сайта, использующего WordPress. После этого комментарий должен быть дополнен любыми символами до 66 000 знаков, что сделает его размер равным 64 Кбайт. Такой размер базе данных WordPress обработать не под силу, поэтому комментарий будет опубликован в усечённом виде и будет содержать вредоносный скрипт. Вслед за этим у злоумышленников появится возможность запускать любой код на веб-сервере страницы.

arstechnica.com

Имея возможность запускать вредоносный код на сайте, хакеры за очень короткое время могут получить полный контроль над сайтом.

В течение двух часов после обнаружения уязвимости WordPress выпустила патч с исправлениями для версии 4.2.1. Сайты, использующие более раннюю версию системы, по-прежнему остаются под угрозой.

Операционная система Windows 10, тестировщиками которой уже стали свыше 1,5 млн установивших обновление человек, похоже, преподнесёт поклонникам продукции Microsoft ряд кардинальных нововведений. Веб-браузер Spartan, о котором мы уже упоминали на страницах нашего издания, будет обладать, несмотря на предварительный статус упрощённого и облегчённого инструмента для доступа в Интернет, рядом по-настоящему интересных опций в своём арсенале.

www.computerworld.com

Как утверждают журналисты издания The Verge, Spartan получит возможность полного взаимодействия с голосовым ассистентом Cortana и, по аналогии с Google Chrome, сможет выполнять поисковой запрос или открыть новую вкладку после соответствующей устной команды без необходимости использования клавиатуры или мышки. При этом аналогичную возможность получат и владельцы смартфонов с Windows Phone 10, которые уже ощутили преимущества фирменного цифрового помощника Cortana.

welovewp.hk

Не менее важным нововведением, о котором сообщают источники, значится реализация алгоритма рукописных заметок при помощи цифрового пера прямо на страницах открытых веб-ресурсов. Представьте, что вы хотите указать на конкретную фразу или выделить рисунок на сайте. Для этого в браузере Spartan предусмотрена опция, позволяющая выделить/подчеркнуть/обвести нужные сведения на сайте графическим способом. А далее при помощи облачного хранилища OneDrive поделиться пометками и сделанными аннотациями с друзьями, которые, открыв аналогичный ресурс, увидят ваши обозначения среди текста и рисунков.

Microsoft, как уже упоминалось выше, подготовит как минимум две версии приложения — для Windows Phone 10, а также для настольной Windows 10. Информаторы уверяют, что интерфейс браузера будет отличаться минимализмом оформления и напоминать тем самым Google Chrome, а вовсе не упрощённую версию Internet Explorer. А что касается последнего, то ветеран веб-сёрфинга, с большой долей вероятности, продолжит своё существование для обеспечения совместимости. Spartan же станет дополнением IE, а не его полной заменой. А вот интеграция поисковой системы Bing в Spartan разработчиками не предусмотрена.  

bgr.com

Сервис NORAD 2014 Santa Tracker и компания Microsoft объединили свои усилия, чтобы предложить пользователям более функциональный и увлекательный способ отследить текущее месторасположение Санта-Клауса в католический сочельник. С приближением Рождества, которое по традиции ассоциируется у американцев и европейцев с распродажами и подарками, торжественными мероприятиями и рождественским ужином, детям даётся возможность самостоятельно узнать, где же в данный момент находится символ католического Рождества — передвигающийся на запряжённых оленями санях дедушка в легко узнаваемой красно-белой одежде.

Скрасить ожидание появления Санты, который начнёт своё путешествие в канун Рождества (25 декабря), помогут увлекательные игры на сайте NORAD, а также просмотр весёлых роликов и чтение полезной информации о, пожалуй, самом ожидаемом каждым ребёнком празднике.

В этом году версия NORAD Santa Tracker может похвастаться не только дополнительными улучшениями, но и возросшей производительностью веб-ресурса. Само собой, Microsoft рекомендует отслеживать Санту при помощи фирменного браузера Internet Explorer, который по-прежнему остаётся, несмотря на острую критику и недостатки прошлых версий, одним из самых популярных средств для веб-сёрфинга.

Коме того, NORAD 2014 Santa Tracker была оптимизирована для более удобной работы на сенсорных экранах, а владельцы мобильных телефонов с операционной системой Windows Phone смогут мониторить Санта-Клауса при помощи голосовых команд, обрабатываемых цифровым помощником Сortana. Достаточно просто спросить: «Где сейчас находится Санта?». Разумеется, партнёрство Microsoft и NORAD 2014 Santa Tracker не обошлось без интеграции рождественской интерактивной 3D-карты в картографический сервис Bing Maps. 

В последнее время в популярном открытом браузере Firefox появляется всё больше продвинутых инструментов для разработчиков веб-приложений. Однако Mozilla готовит нечто большее. Компания в своём блоге отметила, что именно разработчики являются краеугольным камнем Сети, потому она активно внедряет передовые стандарты и создаёт инструменты, упрощающие создание веб-приложений и контента.

Как отмечает Mozilla, подчас разработчикам при создании своих веб-проектов приходится использовать целый ворох разных инструментов, которые плохо работают вместе. Это заставляет переключаться между разными платформами, инструментами и браузерами, что замедляет процесс разработки и делает его менее эффективным.

Поэтому специалисты Mozilla решили представить целый браузер, созданный с единственной целью — упросить жизнь веб-разработчикам. По этому случаю был даже представлен небольшой рекламный ролик, в котором под тревожную музыку сообщается о предстоящем 10 ноября запуске первого браузера, созданного специально для разработчиков.

«Мы полностью переработали браузер, подходя к работе с совершенно нового ракурса, чтобы конечный результат отвечал, прежде всего, интересам разработчиков. Он создан разработчиками для разработчиков, так что последние смогут проводить отладку любых веб-проектов и с меньшими усилиями создавать впечатляющие веб-окружения. Браузер также включает некоторые новые мощные инструменты вроде WebIDE и Firefox Tools Adapter», — пишет Mozilla в официальном блоге.

В прошлом году сеть доставки контента CloudFlare пообещала удвоить использование SSL-шифрования в Интернете в 2014 году. И компания сдержала своё обещание, представив новую службу Universal SSL, которая позволяет бесплатно и без приобретения сертификатов обеспечить работу SSL-шифрования на любом сайте, работающем через CloudFlare.

TechCrunch / Flickr

Это означает появление двух миллионов новых ресурсов с поддержкой SSL-шифрования (другими словами, в результате запуска Universal SSL число таких сайтов удвоилось). SSL уже давно и активно применяется для дополнительной защиты почтовых веб-приложений, банковских служб и других ресурсов (при работе через SSL браузер обычно сигнализирует пользователю изменённой иконкой).

Однако интеграция SSL-шифрования обычно означает дополнительные затраты хостинг-провайдеров, так что большинство веб-сайтов не внедряют эту меру дополнительной защиты. В результате трафик передаётся в нешифрованном виде и становится более уязвимым для пассивной слежки или атак с использованием переадресации.

TechCrunch / Flickr

После крупных скандалов, связанных с обнародованием информации о слежке спецслужб различных стран за пользователями, проблема дополнительной защиты трафика в Сети стала более актуальной. В декабре CloudFlare сообщила о планах предоставить бесплатную службу SSL, а в августе Google пообещала повысить в поисковых запросах рейтинг ресурсов, использующих SSL, дав ещё один повод использовать технологию.

Даже с появлением Universal SSL лишь небольшая часть сайтов использует технологию шифрования SSL, но всё же таких ресурсов становится больше.