WordPress 7.1.4 remediază 22 de vulnerabilități de securitate

WordPress a lansat versiunea 7.1.4 pe 28 octombrie 2026, remediind 22 de vulnerabilități de securitate, inclusiv o vulnerabilitate de executare de cod la distanță fără autentificare în procesul său de actualizare. Această versiune de securitate remediază și erori de tip stored cross-site scripting, expunerea datelor și controlul accesului.

WordPress îi îndeamnă pe administratorii de site-uri web să instaleze actualizarea imediat.

Cea mai severă vulnerabilitate se referă la o eroare de tip race condition, în care un atacator trebuie să acceseze o instalare temporară exact la momentul potrivit. Exploatarea nu necesită un cont WordPress, dar atacul depinde de o fereastră scurtă de actualizare și de accesul public la directorul wp-content/upgrade/.

În timpul actualizărilor, WordPress extrage fișierele în acel director. Anterior, numele previzibile ale folderelor și procesul de curățare care elimina fișierul index.php puteau expune un program de instalare WordPress dezarhivat. Un atacator care avea acces la acesta în timpul actualizării putea rula programul de instalare folosind o bază de date pe care o controla, creând o cale către executarea de cod.

WordPress 7.1.4 adaugă 16 caractere aleatorii la numele folderelor temporare, restabilește protecția fișierului index.php și împiedică copierea fișierului wp-config.php din directorul de lucru. Patchstack evaluează exploatarea ca fiind dificilă, deoarece fereastra de atac durează doar câteva secunde. Această vulnerabilitate este distinctă de cea anterioară legată de rezoluția șabloanelor din nucleul WordPress.

Mai multe remedieri vizează API-ul Interactivity, are susține funcționalitățile interactive ale paginilor. Atacatorii cu acces de tip Contributor puteau salva atribute special create care treceau de filtrarea conținutului, dar care ulterior declanșau acțiuni malițioase în browser. Actualizarea blochează legăturile periculoase, consolidează verificările și remediază o vulnerabilitate de tip denial-of-service ce ar putea bloca fila browser-ului unui utilizator.

Alte remedieri pentru vulnerabilitățile de tip Stored XSS vizează marcajele de blocuri special concepute pentru a exploata aceste vulnerabilități, mecanismul de actualizare selectivă din Customizer, categoriile și etichetele elementelor de navigare. Au fost consolidate, de asemenea, măsurile de securitate pentru procesarea imaginilor și a listelor de redare (Playlist).

Vulnerabilitățile de tip Stored XSS (Cross-Site Scripting persistent) permit stocarea conținutului malițios pe un site web, astfel încât codul injectat să fie executat ulterior în browser-ul altui utilizator atunci când acesta accesează conținutul compromis.

Administratorii pot instala această versiune accesând Dashboard, Updates și Update Now sau pot descărca direct WordPress 7.1.4. Site-urile cu actualizări automate în fundal ar trebui să o primească automat, dar administratorii ar trebui să verifice versiunea instalată, în loc să presupună că procesul s-a finalizat.

Documentația oficială a versiunii enumeră ramurile mai vechi pentru care s-au aplicat patch-uri, inclusiv 7.0.8, 6.9.11 și versiuni până la 4.7.39. Nu toate ramurile conțin toate cele 22 de vulnerabilități. Doar cea mai recentă versiune de WordPress beneficiază în continuare de suport activ, în timp ce versiunile 4.6 și anterioare nu mai primesc actualizări de securitate.

Pe lângă aplicarea patch-urilor, Patchstack recomandă blocarea accesului web la directorul wp-content/upgrade/ la nivelul serverului web și verificarea conturilor cu privilegii de tip Contributor sau superioare.

Este posibil ca un firewall pentru pluginuri WordPress să nu protejeze programul de instalare extras, deoarece acea copie se încarcă independent. Această versiune actualizează, de asemenea, certificatele root incluse, ca urmare a revocării eMudhra. Lansarea WordPress 7.2 rămâne programată pentru 8 decembrie, dar administratorii site-urilor nu ar trebui să amâne această actualizare de securitate în așteptarea acelei versiuni majore.

Sursă: https://cybersecuritynews.com/wordpress-7-1-4-fixes-security-flaws/