Очередной «надёжный» бот в MAX оказался дырявым.

Очередной «надёжный» бот в MAX оказался дырявым.

Сюжет простой: три месяца назад нашли эксплойт в Ze-Post и пытались достучаться до разработчиков. Не достучались. Потом всплыла новая дыра — и уже через неё залезли громче, грязнее и публичнее.

Что тут важно для WP-мира? Всё то же самое.
Любой бот, плагин, интеграция, «автоматизация для удобства» без нормальной модели доступа — это не сервис, а будущий инцидент.
Сейчас это мессенджер. Завтра — ваш WooCommerce, CRM-воронка или бэкап-плагин, который хранит токены в открытом виде.

Проблема не в том, что кто-то нашёл баг.
Проблема в том, что его не закрыли после первого сигнала. Вот так и рождаются скандалы: сначала «ничего страшного», потом слив, потом паника, потом срочный патч и тупые оправдания.

Вывод простой: если в продукте есть авторизация, вебхуки, права доступа и хоть какой-то API — его надо проверять, пока это не сделал кто-то злой. 😉