WordPress пусна версия 7.1.1 — актуализация за сигурност и поддръжка, която коригира 11 уязвимости, засягащи широко използваната система за управление на съдържание.
Собствениците и администраторите на уебсайтове са призовани да инсталират корекциите за сигурност незабавно, за да намалят риска от атаки за междинен скриптинг (cross-site scripting), заобикаляне на оторизацията, разкриване на информация, преминаване през директории (path traversal) и манипулиране на съдържание.
Версията WordPress 7.1.1 включва също 17 отстранени грешки в WordPress Core и 19 в Block Editor. Сайтовете, конфигурирани за автоматични фонови актуализации, трябва автоматично да започнат да получават обновяването.
Администраторите, които управляват ръчни актуализации, могат да инсталират новата версия през таблото за управление (WordPress Dashboard), като отворят „Updates“ и изберат „Update Now“.
Обновяването отстранява множество съхранени уязвимости за междинен скриптинг (XSS). Една от тях е във функцията wpautop(). Тя би могла да позволи на неудостоверен посетител да инжектира зловреден код в съдържанието, подлежащо на одобрение на коментара. Ако такъв злонамерен коментар бъде одобрен и по-късно прегледан от друг потребител, инжектираният код може да се изпълни в браузъра на този потребител.
WordPress Urges Update
Друг проблем със съхранен XSS засяга някои теми, поддържащи персонализирани заглавни части (custom headers). WordPress коригира и уязвимост в HTML API във функцията set_modifiable_text(), където специално формулирани последователности за внезапно затваряне биха могли да позволят на атакуващ да излезе от контекста на коментара.
Няколко уязвимости биха могли да позволят неоторизирани действия или разкриване на ограничена информация. Специално конструиран URL адрес би могъл автоматично да инсталира и прегледа неактивна тема от WordPress.org.
Въпреки че проблемът не означава непременно инсталиране на произволна тема от източник, контролиран от атакуващия, той би могъл да бъде използван за промяна на поведението на сайта или да изложи администраторите на нежелани прегледи на теми.
Версията отстранява и уязвимост за преминаване през директории (path traversal) при удостоверени потребители в WP REST Templates Controller, докладвана от Anthropic.
Проблемите от тип path traversal потенциално могат да позволят на автентикирани потребители да достъпват или манипулират файлове и ресурси извън предвидения директориен път, в зависимост от засегнатия компонент и конфигурацията на внедряване.
Друга корекция предотвратява възможността потребители с роля „Contributor“ или по-висока да презаписват произволни публикации. WordPress отстрани и липсващи проверки за оторизация, които биха могли да разкрият идентификатори (slugs) на чернови или чакащи публикации пред сътрудници, както и заглавието на частна родителска публикация чрез метаданни на прикачени файлове.
Интерфейсът XML-RPC получи корекция за сигурност, след каквато изследователи установиха, че той може да се използва за публикуване на customize_changeset публикации, заобикаляйки проверките за правата edit_css.
Исторически XML-RPC е била мишена от висок интерес за киберпрестъпниците, атакуващи WordPress, тъй като може да разкрие функции за дистанционно публикуване и административни функции.
WordPress допълнително отстрани проблем, при който всеки автентикиран потребител можеше да променя родителя на коментари, включително вътрешни бележки. В среда за публикуване с множество потребители това би могло да засегне работните процеси по модерация, организацията на коментарите и целостта на редакционните записи.
Изследователи по сигурността отговорно докладваха уязвимостите, включително Rafie Muhammad, Jeremy Felt, Paulos Yibelo, pwn.ai, Jesse McNeil, Anthropic, Ben Bidner, HDWSec, hermanhms и viridis.
От WordPress заявиха, че корекциите за сигурност се пренасят (backporting) и към по-стари поддържани клонове за сигурност, включващи към момента версии до 4.7. Въпреки това само най-новата версия на WordPress получава активна поддръжка, което прави версия 7.1.1 препоръчителна за продукционни уебсайтове.