WordPress 7.1.4 corregge falle, anche di esecuzione di codice da remoto
Chi gestisce un sito WordPress deve aggiornare alla versione 7.1.4. Secondo la pagina ufficiale di WordPress è una release di sicurezza con correzioni per più problemi, tra cui una debolezza nel processo di aggiornamento che può portare a esecuzione di codice da remoto. Il progetto raccomanda di aggiornare subito.
Come aggiornare alla 7.1.4
Prima di aggiornare conviene fare un backup del sito: se qualcosa va storto, puoi ripristinarlo. Attenzione, l’aggiornamento sovrascrive i file del core, quindi le modifiche fatte direttamente a quei file andranno perse. Per procedere ci sono due strade: apri la Bacheca, vai in «Aggiornamenti» e fai clic su «Aggiorna ora», oppure scarica la 7.1.4 da WordPress.org e segui la procedura di aggiornamento manuale della documentazione ufficiale.
I siti che supportano gli aggiornamenti automatici in background avviano il processo da soli.
Le falle corrette nella 7.1.4
L’elenco delle correzioni, nella descrizione del progetto:
- una debolezza nel processo di aggiornamento che può portare a esecuzione di codice da remoto durante la finestra di upgrade;
- uno stored XSS con markup di blocchi appositamente costruito;
- uno stored XSS che nasce dalle richieste di rimozione dei dati personali (Privacy Data Removal Requests);
- uno stored XSS causato da nomi utente (User Logins) appositamente costruiti;
- più stored XSS nell’Interactivity API e un problema di denial of service stored nella stessa API;
- uno stored XSS nel refresh selettivo del Customizer;
- stored XSS nel blocco Categorie, nei blocchi Playlist e immagine e nei blocchi core/comments-pagination-next e core/comments-pagination-previous;
- le bozze di modifica non pubblicate del Customizer (changeset) possono essere scoperte da utenti non autenticati;
- le Note possono essere lette da utenti con privilegi che non hanno accesso alla modifica dell’articolo a cui sono collegate;
- aggiornamento dei certificati radice inclusi in WordPress, per la revoca di eMudhra.
Rami supportati e backport
Le correzioni sono state portate a tutti i rami idonei a ricevere patch di sicurezza, attualmente fino alla 4.7. I backport sono in corso e usciranno man mano. WordPress ricorda che solo l’ultima versione è attivamente supportata.
È uscita anche WordPress 7.2 Beta 3, che contiene tutte le correzioni applicabili. La 7.1.4 è una release a ciclo breve: la prossima major sarà la 7.2, prevista per l’8 dicembre.
Chi ha segnalato i problemi
La debolezza nell’upgrade è stata segnalata da Umut Bayram. Anthropic ha segnalato lo stored XSS nelle richieste di rimozione dei dati personali e quello nei nomi utente.
Rafie Muhammad (Awesome Motive, Inc.) ha riportato lo stored XSS con markup di blocchi e quello nel refresh selettivo del Customizer. Diverse altre falle sono state segnalate da membri del team sicurezza di WordPress. Secondo WordPress, gli XSS nell’Interactivity API sono stati scoperti in modo indipendente da più ricercatori. La release è stata guidata da Aaron Jorbin e Nik Tsekouras.
