Rilascio di WordPress 7.1.3: versione di manutenzione e sicurezza

Questa è la traduzione dell’articolo “WordPress 7.1.3 Maintenance and Security Release” presente nel blog Make di WordPress.org.

Questo rilascio di sicurezza e manutenzione include 7 correzioni di sicurezza e 4 correzioni di bug.

Trattandosi di un rilascio di sicurezza, si raccomanda di aggiornare i propri siti subito.

Puoi scaricare WordPress 7.1.3 da WordPress.org. In alternativa, vai nella Bacheca di WordPress, clicca su «Aggiornamenti» e poi su «Aggiorna ora». Se il tuo sito supporta gli aggiornamenti automatici in background, il processo partirà in autonomia.

Aggiornamenti di sicurezza inclusi in questo rilascio

Il team di sicurezza ringrazia le persone e le organizzazioni indicate di seguito. Hanno segnalato le vulnerabilità in modo responsabile e ne hanno permesso la correzione in questo rilascio.

• Una vulnerabilità XSS memorizzata (stored XSS) nella pagina di amministrazione dei commenti, sfruttabile tramite i commenti in attesa di approvazione. È stata segnalata da Trail of Bits in collaborazione con OpenAI.
• Un problema di DoS nel metodo WP_Http::make_absolute_url(), segnalato da Anthropic.
• Una SQL injection di secondo livello nell’esportazione WXR di WordPress, segnalata da Anthropic.
• Una debolezza che permetteva agli utenti con ruolo Autore di rendere gli articoli in evidenza, segnalata da Anthropic.
• La divulgazione non autenticata dei commenti di articoli privati e non pubblicati, segnalata da Ananda Dhakal di Patchstack.
• I contenuti incorporati da Imgur erano vulnerabili a XSS. La segnalazione è di Zhengyu Liu, Jingcheng Yang e Gavin Zhong.
• Parametri falsificabili passati all’hook {status}_{type} potevano causare una collisione tra i nomi delle azioni. La segnalazione è di Alex Concha del team di sicurezza di WordPress.

Grazie ai collaboratori di WordPress

Questo rilascio è stato guidato da Jake Spurlock.

WordPress 7.1.3 non sarebbe stato possibile senza il contributo delle persone elencate di seguito. Il loro coordinamento asincrono, finalizzato a portare correzioni di manutenzione e sicurezza in un rilascio stabile, dimostra la forza e le capacità della community di WordPress.

Aaron Jorbin, Adam Silverstein, Adi Moldovan, Adrian Duffell, Alex Concha, Arkaprabha Chowdhury, Deepak Kumar, donniam, Ehtisham Siddiqui, Jake Spurlock, Jb Audras, Jeremy Felt, Joe Dolson, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Ken Gagne, Khokan Sardar, Lance Willett, lucatume, marcs0h, Peter Wilson, Paul Kevan, RS Software, Rudy Faile, Sergey Biryukov, siliconforks, smerriman, Stephen Bernhardt, Suryakant Upadhyay, vortfu, webVerts, Weston Ruter, Yogesh Bhutkar.

Backport

Per cortesia, le correzioni di sicurezza vengono portate (backport), dove necessario, a tutti i rami idonei a ricevere correzioni di sicurezza (attualmente fino alla 4.7). Ricordiamo che solo l’ultima versione di WordPress è supportata attivamente. I backport sono in corso e verranno rilasciati man mano che saranno pronti.

Come contribuire

Per partecipare allo sviluppo del core di WordPress, visita Trac, scegli un ticket e unisciti alla discussione nel canale #core. Hai bisogno di aiuto? Consulta l’Handbook del Contributore del Core (Core Contributor Handbook).