WordPress пусна версия 7.1.2, за да отстрани критична уязвимост, която позволява на неавтентифициран атакуващ да накара софтуера да зареди PHP файл по избор на атакуващия от папки извън активните теми на сайта. При сайтове, в които сървърът и активната тема отговарят на определени условия, атакуващият може да изпълни код на сървъра.
Проектът проследява уязвимостта като CVE-2026-87902 и посочва всички версии от 4.7.0 до 7.1.1 като засегнати. Атакуващият не се нуждае от профил в сайта, нито от действие от страна на потребител с такъв профил.
Тъй като това е актуализация за сигурност, се препоръчва незабавно да обновите вашите сайтове.
Какво прави уязвимостта
Проблемът се намира в get_page_template() — функцията, която WordPress използва за избор на файла с тема, визуализиращ страницата. Атакуващ може да насочи това търсене към четлив .php файл на друго място в сървъра. Това е уязвимост от тип path traversal (преминаване през директории), което означава, че заявката излиза извън директорията, в която се очаква да остане кодът. След това WordPress включва файла и PHP изпълнява кода в него.
WordPress оцени уязвимостта с 9.2 от 10 по четвъртата версия на CVSS — стандартната скала за степен на сериозност на уязвимостите. Оценката предполага атакуващ, който действа през мрежата, с ниска сложност, без привилегии и без необходимост от взаимодействие с потребител.
Кой получава корекцията за сигурност
Корекцията се предлага във версия 7.1.2 и в 24 по-стари клона — от 7.0.6 до 4.7.37. Сайтовете, които приемат автоматични актуализации във фонов режим, ще стартират обновяването самостоятелно, а останалите могат да се обновят от екрана „Актуализации“ на контролния панел.
„Като жест корекцията за сигурност беше пренесена и към всички клонове, имащи право да получават корекции за сигурност (към момента до 4.7). Като напомняне, активно се поддържа само най-новата версия на WordPress“, отбелязват от WordPress.