WordPress 7.1.3 est disponible. Présentée comme une version de sécurité et de maintenance, elle corrige 7 failles de sécurité et 4 bugs. Comme il s’agit d’une mise à jour de sécurité, il est recommandé de mettre ses sites à jour immédiatement.
- WordPress 7.1.3 corrige sept failles de sécurité et quatre bugs.
- La mise à jour est recommandée pour tous les sites, via téléchargement ou automatisation.
- Plusieurs vulnérabilités signalées par des chercheurs ont été corrigées dans cette version.
- La version a été développée par la communauté WordPress, encourageant la participation ouverte.
Deux méthodes sont proposées. Il est possible de télécharger WordPress 7.1.3 depuis WordPress.org, ou de se rendre sur le tableau de bord WordPress, de cliquer sur « Updates », puis sur « Update Now ». Les sites qui prennent en charge les mises à jour automatiques en arrière-plan voient la procédure démarrer seule.
Des failles corrigées, signalées par des chercheurs
L’équipe sécurité de WordPress remercie les personnes et organisations qui ont signalé des vulnérabilités de manière responsable, ce qui a permis de les corriger dans cette version. Parmi elles figure une faille de type XSS stockée, c’est-à-dire une injection de code malveillant qui reste enregistrée dans une page, située sur la page d’administration des commentaires. Elle a été signalée par Trail of Bits en collaboration avec OpenAI.
Anthropic a signalé trois autres problèmes. Il s’agit d’un problème de déni de service dans la méthode WP_Http::make_absolute_url(), d’une injection SQL dite « de second ordre » dans l’export WXR de WordPress, et d’une faiblesse permettant aux utilisateurs ayant le rôle Author d’épingler des articles (« sticky posts »). Ce rapport ne décrit pas de méthode d’exploitation.
D’autres failles ont été signalées par Ananda Dhakal de Patchstack, qui a relevé une divulgation non authentifiée de commentaires sur des articles privés et non publiés, ainsi que par Zhengyu Liu, Jingcheng Yang et Gavin Zhong, qui ont identifié une vulnérabilité XSS dans les intégrations Imgur. Enfin, Alex Concha, membre de l’équipe sécurité de WordPress, a mis en évidence des paramètres falsifiables transmis au hook {status}_{type}, qui peuvent conduire à une collision de noms d’action. Un « hook » est un point d’accroche permettant d’ajouter des fonctions au cœur du logiciel.
Les correctifs de sécurité sont également rétroportés, lorsque c’est nécessaire, vers toutes les branches éligibles à ces corrections, actuellement jusqu’à la version 4.7. Le texte rappelle toutefois que seule la version la plus récente de WordPress est activement prise en charge. Ces rétroportages sont en cours et seront publiés au fur et à mesure de leur disponibilité.
Une version portée par la communauté
Cette version a été menée par Jake Spurlock. Le texte remercie également de nombreux contributeurs, dont Aaron Jorbin, Adam Silverstein, Adi Moldovan, Adrian Duffell, Alex Concha, Arkaprabha Chowdhury, Deepak Kumar, donniam, Ehtisham Siddiqui, Jb Audras, Jeremy Felt, Joe Dolson, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Ken Gagne, Khokan Sardar, Lance Willett, lucatume, marcs0h, Peter Wilson, Paul Kevan, RS Software, Rudy Faile, Sergey Biryukov, siliconforks, smerriman, Stephen Bernhardt, Suryakant Upadhyay, vortfu, webVerts, Weston Ruter et Yogesh Bhutkar.
Selon le texte, leur coordination asynchrone pour livrer des correctifs de maintenance et de sécurité dans une version stable témoigne de la puissance et des capacités de la communauté WordPress. Pour participer au développement du cœur de WordPress, il suffit de se rendre sur Trac, de choisir un ticket et de rejoindre la discussion sur le canal #core. Le Core Contributor Handbook est proposé à ceux qui ont besoin d’aide.
Product offers are temporarily unavailable.
