6 октября вышел WordPress 7.1.3. В нём семь исправлений безопасности и четыре исправления ошибок, разработчики советуют обновиться немедленно. Среди закрытых проблем есть доступ посторонних к комментариям закрытых записей и внедрение кода через комментарии, ожидающие проверки. Рассказываем, что исправлено и как обновиться без сюрпризов.
Что вышло
В официальном сообщении релиз назван выпуском безопасности и обслуживания. Обновиться можно из админки в разделе «Обновления». На сайтах с фоновыми обновлениями установка начинается сама.
Это третий выпуск с исправлениями безопасности с 21 сентября. Тогда вышла версия 7.1.1, 22 сентября версия 7.1.2 с критическим исправлением, о которой мы писали в дайджесте.
Семь закрытых уязвимостей
- Внедрение кода через комментарии. Сохранённый XSS на странице комментариев в админке, срабатывает через комментарии, ожидающие проверки.
- Раскрытие комментариев. Посетитель без входа на сайт мог получить комментарии к закрытым и неопубликованным записям.
- SQL-инъекция второго порядка в экспорте WXR.
- Отказ в обслуживании в методе
WP_Http::make_absolute_url(). - Закрепление записей. Пользователь с ролью «Автор» мог закреплять записи, хотя права на это у него нет.
- XSS во встраивании Imgur.
- Совпадение имён действий в хуке
{status}_{type}.
Оценок опасности по каждой уязвимости в сообщении нет. Сведений о том, что какую-то из них уже используют для взломов, там тоже нет. Любопытная деталь в списке благодарностей. Три из семи проблем, включая SQL-инъекцию, сообщила компания Anthropic, разработчик Claude. Остальные нашли исследователи из Trail of Bits и Patchstack, трое независимых специалистов и команда безопасности самого WordPress.
Автоматическое обновление срабатывает не всегда. Версию стоит проверить глазами на каждом сайте.
Старые ветки
Исправления переносят во все ветки, которые ещё получают обновления безопасности, сейчас это версии начиная с 4.7. На момент выхода релиза перенос ещё шёл, исправленные сборки старых веток выходят по мере готовности. При этом WordPress напоминает, что активно поддерживается только последняя версия.
Наш комментарий
Наш сайт уже работает на 7.1.3.
Версию мы проверили на сервере перед публикацией этой новости, а не поверили автообновлению на слово.
Самыми практичными нам кажутся две уязвимости из семи. Комментарии с внедрённым кодом опасны тем, что срабатывают у администратора в момент обычной модерации. Открытые комментарии есть почти на каждом блоге. А раскрытие комментариев к закрытым записям важно сайтам, где черновики и приватные страницы обсуждаются внутри команды.
Для продвижения это такая же история, как и с прошлым релизом. Взломанный сайт редко ломают. На нём прячут ссылки и спамные страницы, а владелец узнаёт об этом по падению позиций. Сейчас это особенно некстати, потому что идёт спам-апдейт Google.
Как обновиться
- Сделать резервную копию файлов и базы данных.
- Обновить ядро, затем плагины и тему.
- Сбросить кэш сервера и плагинов оптимизации.
- Проверить работу. Вход в админку, формы, комментарии, поиск, корзину и оформление заказа.
- Просмотреть очередь комментариев и удалить подозрительные, не открывая вложенных ссылок.
Для магазина и сайта с доработками обновление надёжнее сначала прогнать на копии. Тем более что на эту неделю намечен выход WooCommerce 11.2 с изменениями импорта и оформления заказа, о которых мы писали в прошлом дайджесте.
С чего начать
Откройте админку и посмотрите номер версии внизу страницы. Если там не 7.1.3 или исправленная версия вашей ветки, обновитесь сегодня. Обновления с проверкой на копии мы берём на себя в рамках продвижения сайта, а следы взлома и чужие страницы в индексе помогает найти SEO-аудит.
Подпишитесь на SEO-новости
Каждая новость с сайта сразу выходит в нашем Telegram-канале и на странице в Facebook. Выберите, где вам удобнее читать.
