Október 28-án a WordPress csapata soron kívüli biztonsági kiadást tett közzé: a WordPress 7.1.4 több mint tíz biztonsági hibát javít. A WordPress.org azt kéri, hogy minden oldaltulajdonos azonnal frissítsen.
Mi a probléma?
A legsúlyosabb hiba a WordPress frissítési folyamatában van: egy gyengeség miatt a frissítés ideje alatt távoli kódfuttatás válhatott lehetővé, vagyis egy támadó saját kódot futtathatott volna a szerveren.
A többi javítás nagyrészt tárolt XSS (cross-site scripting) hiba. Ezeknél a támadó olyan kódot menthet az oldalra, ami később egy másik felhasználó, akár egy adminisztrátor böngészőjében fut le. Érintett többek között:
- a blokkok markupja, a Kategóriák, a Lejátszási lista és a Kép blokk, valamint a hozzászólás-lapozó blokkok;
- az Interactivity API (itt egy szolgáltatásmegtagadást okozó hibát is javítottak);
- a Customizer, az adatvédelmi törlési kérelmek és a speciálisan összeállított felhasználónevek.
Két hiba adatot szivárogtatott: a Customizer még nem közzétett módosításait bejelentkezés nélkül is meg lehetett nézni, a bejegyzésekhez fűzött jegyzeteket (Notes) pedig olyan felhasználók is olvashatták, akik az adott bejegyzést nem szerkeszthetik. A kiadás emellett frissíti a WordPressbe csomagolt gyökértanúsítványokat is.
Mit érdemes most tenned?
- Nézd meg a verziót: a WordPress-adminban a Vezérlőpult → Frissítések oldalon látod. Ha nem 7.1.4, kattints a „Frissítés most” gombra.
- Ha az oldaladon be van kapcsolva az automatikus háttérfrissítés, a WordPress magától frissít, de érdemes ellenőrizni, hogy megtörtént-e.
- Bedrock vagy Composer alapú oldalon az automatikus frissítés nem működik: a
composer.json-ban emeld aroots/wordpressverzióját 7.1.4-re, futtasd acomposer update roots/wordpressparancsot, és telepítsd ki az oldalt. - Régebbi főverzión (például 7.0 vagy 6.9) a javításokat visszaportolják, egyes ágakra viszont még csak most készülnek. A legbiztosabb a 7.1.4-re váltás, mert csak a legfrissebb verziót támogatják teljes körűen.
Részletek: a WordPress.org bejelentése.
