WordPress publie la version 7.1.4, une mise à jour de sécurité qui corrige plusieurs problèmes. Les responsables recommandent d’actualiser ses sites immédiatement, car la version précédente présente des failles.
Pour installer la mise à jour, il suffit de télécharger WordPress 7.1.4 depuis WordPress.org, ou de se rendre dans le tableau de bord WordPress, de cliquer sur « Updates », puis sur « Update Now ». Les sites qui prennent en charge les mises à jour automatiques en arrière-plan démarreront le processus tout seuls.
Des failles corrigées dans cette version
L’équipe de sécurité de WordPress remercie les personnes et organisations qui ont signalé ces vulnérabilités de manière responsable, afin qu’elles puissent être corrigées. Parmi elles figure une faiblesse dans le processus de mise à jour de WordPress, qui peut conduire à une exécution de code à distance, c’est-à-dire la possibilité pour un attaquant de faire exécuter du code à un système à distance, pendant la fenêtre de mise à jour. Cette faille a été signalée par Umut Bayram.
Le reste concerne surtout des failles de type XSS stockées, qui permettent d’enregistrer du code malveillant dans un site. Elles touchent plusieurs blocs de l’éditeur, notamment les blocs Categories, Playlist et image, ainsi que les blocs de pagination des commentaires. Une faille dans le rafraîchissement sélectif du Customizer est également corrigée, signalée par Rafie Muhammad (Awesome Motive, Inc.).
L’API Interactivity est elle aussi concernée. Plusieurs failles XSS stockées y ont été découvertes indépendamment par AnC et DatNLQ de VietSunshine Cyber Security, par rekter0 et Anas cherni, par Marcel Karlsson (whoismarcel), ainsi que par Weston Ruter, Jon Surrell, Alex Concha et Luis Herranz, membres de l’équipe de sécurité de WordPress. Jon Surrell a aussi signalé un problème de déni de service stocké dans cette même API.
D’autres points méritent d’être notés. Les demandes de suppression de données personnelles peuvent être créées d’une manière qui mène à une faille XSS stockée, signalée par Anthropic. Des identifiants de connexion construits de façon particulière peuvent aussi provoquer une faille de ce type. Des modifications non publiées du Customizer peuvent être découvertes par des utilisateurs non authentifiés, un problème signalé par Antonio Lorensius Silaban. Enfin, des notes peuvent être lues par des utilisateurs disposant de privilèges sans avoir accès à l’article auquel elles sont rattachées, signalement de Ramon, de l’équipe de sécurité. Cette version met également à jour les certificats racines inclus, à la suite de la révocation de eMudhra.
Versions concernées et calendrier
WordPress 7.1.4 est une version à cycle court. La prochaine version majeure, la 7.2, est actuellement prévue pour le 8 décembre. Cette mise à jour a été menée par Aaron Jorbin et Nik Tsekouras, avec la participation de nombreux contributeurs.
Par courtoisie, les correctifs de sécurité ont été rétroportés (backportés) vers toutes les branches éligibles aux correctifs de sécurité, c’est-à-dire, pour l’instant, jusqu’à la version 4.7. L’équipe rappelle toutefois que seule la version la plus récente de WordPress est activement prise en charge. Ces rétroportages sont en cours et seront publiés au fur et à mesure de leur disponibilité.
WordPress 7.2 Beta 3 a également été publiée, et contient l’ensemble des correctifs applicables.
Product offers are temporarily unavailable.
