Questa è la traduzione dell’articolo “WordPress 7.1.4” presente nel blog Make di WordPress.org.
Questa versione di sicurezza contiene correzioni per diversi problemi.
Trattandosi di un aggiornamento di sicurezza, si consiglia di aggiornare immediatamente i propri siti.
È possibile scaricare WordPress 7.1.4 dal sito WordPress.org oppure accedere alla Bacheca di WordPress, fare clic su “Aggiornamenti” e poi su “Aggiorna ora”. Se si dispone di siti che supportano gli aggiornamenti automatici in background, il processo di aggiornamento inizierà automaticamente.
WordPress 7.1.4 è una versione a ciclo breve. La prossima major release sarà la versione 7.2, attualmente prevista per l’8 dicembre.
Per ulteriori informazioni, visita il sito HelpHub di WordPress 7.1.4.
Aggiornamenti di sicurezza inclusi in questa versione
Il team di sicurezza desidera ringraziare le seguenti persone e organizzazioni per aver segnalato in modo responsabile le vulnerabilità, consentendone la correzione in questa versione:
- Una vulnerabilità nel processo di aggiornamento di WordPress che può consentire l’esecuzione di codice da remoto durante la finestra di aggiornamento, segnalata da Umut Bayram.
- Un attacco XSS memorizzato con codice HTML appositamente manipolato, segnalato da Rafie Muhammad (Awesome Motive, Inc.).
- Le richieste di cancellazione dei dati personali possono essere formulate in modo tale da causare un attacco XSS memorizzato, come segnalato da Anthropic.
- Diverse vulnerabilità XSS presenti nell’API Interactivity, scoperte indipendentemente da AnC e DatNLQ di VietSunshine Cyber Security, da rekter0 e da Anas cherni, Marcel Karlsson (whoismarcel), e Weston Ruter, Jon Surrell, Alex Concha, e Luis Herranz del team di sicurezza di WordPress.
- Una vulnerabilità di tipo “denial of service” (DoS) di tipo “stored” nell’API Interactivity, segnalata da Jon Surrell del team di sicurezza di WordPress.
- Un attacco XSS di tipo “stored” nell’aggiornamento selettivo di Personalizza, segnalato da Rafie Muhammad (Awesome Motive, Inc.).
- Un XSS di tipo “stored” nel blocco “Categorie”, segnalato da Ben Bidner del team di sicurezza di WordPress.
- Gli accessi utente appositamente creati possono causare una vulnerabilità XSS memorizzata segnalata da Anthropic.
- Le modifiche non pubblicate apportate tramite il Personalizza possono essere individuate da utenti non autenticati, segnalato da Antonio Lorensius Silaban.
- Una vulnerabilità XSS di tipo “stored” nei blocchi Playlist e Immagine”, segnalata da Ben Bidner del team di sicurezza di WordPress.
- XSS memorizzato in
core/comments-pagination-next e core/comments-pagination-previous blocks, segnalato da Alex Concha del team di sicurezza di WordPress. - Le note possono essere lette da utenti con privilegi che non dispongono dell’accesso per modificare il post a cui la nota è allegata, come segnalato da Ramon del team di sicurezza di WordPress.
- Un aggiornamento dei certificati root integrati a seguito della revoca di eMudhra.
Grazie a questi collaboratori di WordPress
Questa versione è stata curata da Aaron Jorbin e Nik Tsekouras. WordPress 7.1.4 non sarebbe stato possibile senza il contributo delle seguenti persone:
Aaron Jorbin, Adam Silverstein, Alex Concha, Andrew Duthie, Andrew Serong, David Arenas, Dennis Snell, Ella Van Durpe, George Mamadashvili, Isabel Brison, Jake Spurlock, Jb Audras, Jeremy Felt, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Kira Song,Lance Willett, luisherranz, Marco Ciampini, marcs0h, Marin Atanasov, Mario Santos, Miguel Fonseca, Nik Tsekouras, Peter Wilson, ramonopoly, Rudy Faile, Sergey Biryukov, umut3806, Weston Ruter
Backport
A scopo di tutela, le correzioni di sicurezza sono state applicate retroattivamente a tutti i branch idonei a riceverle (attualmente fino alla versione 4.7). Ricordiamo che solo la versione più recente di WordPress è attivamente supportata. Le retroazioni sono in corso e verranno distribuite non appena saranno pronte.
È stata inoltre rilasciata la versione Beta 3 di WordPress 7.2, che contiene tutte le correzioni del caso.
