WordPress 7.1.4 закрывает 12 уязвимостей: обновиться советуют немедленно

Что вышло

О релизе написал Аарон Джорбин в блоге WordPress. Сайты с автоматическими фоновыми обновлениями начнут обновление сами. Остальные можно обновить из консоли в разделе «Обновления» или скачать версию с WordPress.org.

Исправления перенесены во все ветки, которым ещё положены обновления безопасности, вплоть до 4.7. Часть таких выпусков ещё готовится. WordPress напоминает, что активно поддерживается только последняя версия.

Что закрыто

• Процесс обновления. Слабое место, которое могло привести к удалённому выполнению кода в момент обновления.
• Хранимые XSS. В разметке блоков, запросах на удаление персональных данных, Interactivity API, выборочном обновлении Customizer, блоке категорий, логинах пользователей, блоках плейлиста и изображения, блоках пагинации комментариев.
• Отказ в обслуживании. Хранимая уязвимость в Interactivity API.
• Утечки. Неопубликованные наборы изменений Customizer могли найти посетители без входа на сайт. Заметки к записи могли читать пользователи без права её редактировать.

Отдельно обновлён набор корневых сертификатов после отзыва сертификата eMudhra. Две уязвимости из списка нашла и сообщила компания Anthropic.

Следующая крупная версия, WordPress 7.2, запланирована на 8 декабря.

Публичный список исправлений подсказывает и администраторам, и взломщикам, где искать сайты без обновления.

Наш опыт

Наш сайт обновился до 7.1.4 сам, через автоматическое обновление ядра, 28 октября в 22:21 по Минску. Проверили версию по SSH, ничего вручную делать не пришлось. Автообновления младших версий ядра у нас включены.

Наш комментарий

Большинство исправлений — хранимые XSS. При такой уязвимости вредоносный код сохраняется в данных сайта и срабатывает, когда страницу открывает другой пользователь, например администратор. Поэтому особенно важно обновить сайты, где контент добавляют несколько авторов или посетители.

Остальным тоже не стоит откладывать.

Если автообновления выключены, а сайт давно не обновлялся, обновлять его одним нажатием рискованно. Сначала стоит проверить совместимость темы, плагинов и версии PHP на копии.

Что сделать

• Проверить версию. В консоли внизу страницы или в разделе «Обновления» должно быть 7.1.4.
• Сделать резервную копию. Файлы и база, и убедиться, что её можно восстановить.
• Обновить. Если версия старая, на важном сайте — сначала на копии.
• Проверить сайт. Вход, формы, корзину, редактор блоков. Сбросить кэш.
• Включить автообновления младших версий. Чтобы следующий такой релиз встал сам.

С чего начать

Откройте консоль WordPress и посмотрите текущую версию. О прошлом релизе безопасности мы писали в новости про WordPress 7.1.3, а настройки, которые важны для поиска, разбирали в статье SEO для WordPress. Проверить сайт и настроить обновления помогаем в рамках создания и поддержки сайтов.