28 października ukazał się WordPress 7.1.4. To wydanie wyłącznie bezpieczeństwa: łata kilkanaście luk w samym rdzeniu WordPressa (serwisy branżowe liczą ich nawet 22).
Co dokładnie poprawiono?
- Większość to luki typu XSS, czyli możliwość wstrzyknięcia złośliwego skryptu – w blokach, Customizerze i Interactivity API. Do ich wykorzystania potrzebne jest konto na stronie, zwykle co najmniej z rolą „Współpracownik”.
- Dwie luki nie wymagają logowania: podgląd nieopublikowanych zmian z Customizera oraz zdalne wykonanie kodu w trakcie aktualizacji WordPressa. Ta druga jest trudna do wykorzystania, bo atakujący musi trafić w kilkusekundowe okno podczas aktualizacji.
- Poprawki trafiły też do starszych gałęzi, m.in. 7.0.8, 6.9.11 i 6.8.12.
Co warto zrobić
- Sprawdzić wersję w Kokpit → Aktualizacje – powinna być 7.1.4 (lub poprawiona wersja starszej gałęzi).
- Upewnić się, że automatyczne aktualizacje działają, bo to one zwykle instalują takie poprawki same.
- Przejrzeć listę użytkowników i usunąć konta, które nie są już potrzebne – większość tych luk zaczyna się od konta z dostępem do pisania wpisów.
Nie masz czasu tego pilnować? Zrobię audyt bezpieczeństwa strony (od 200 zł netto) albo zajmę się stałą opieką: aktualizacjami, kopiami zapasowymi, a w razie infekcji – jej usunięciem. Jeśli strona jest już mocno przestarzała, zbuduję nową, szybką i bezpieczną stronę na WordPressie (od 1490 zł netto). Napisz do mnie.