WordPress wydaje wersję bezpieczeństwa 7.1.4, która naprawia 22 podatności. Najpoważniejsza z nich to race condition w samym procesie aktualizacji rdzenia, odkryty przez badacza Umuta Bayrama. W określonych warunkach pozwala on na zdalne wykonanie kodu (RCE) w trakcie okna aktualizacji, a taki atak może prowadzić nawet do pełnego przejęcia witryny. Oficjalny komunikat celowo pomija szczegóły, więc nie wiadomo, jakie warunki serwerowe lub poziom dostępu są potrzebne do wykorzystania luki ani czy wymaga ona uwierzytelnienia. Druga grupa poprawek dotyczy funkcji edycyjnych i interaktywnych: Interactivity API, bloków, Customizera oraz paneli administracyjnych, w tym przypadków nieautoryzowanego ujawnienia informacji i licznych luk typu stored XSS. Wiele z tych exploitów wymaga konta co najmniej na poziomie Contributor, co zmniejsza ryzyko ataku. Trzecia kategoria to luki w starszych wersjach: niektóre tkwią w rdzeniu od WordPressa 4.7, a liczba podatności zależy od wersji. Dla agencji i właścicieli stron oznacza to konieczność szybkiej aktualizacji wszystkich instalacji do 7.1.4, ze szczególną uwagą dla serwisów z wieloma autorami i współpracownikami.
Źródło: Search Engine Journal — oryginalny artykuł ↗
Chcesz wiedzieć, jak ta zmiana wpłynie na Twoją stronę?
Nasz zespół analizuje każdą aktualizację Google w 48h i przekłada ją na konkretne działania dla klientów.
Bezpłatna analiza wpływu