Обновления безопасности
В этом выпуске, посвящённом безопасности и обслуживанию, исправлено 17 ошибок в ядре системы, 21 ошибка в редакторе блоков и 11 уязвимостей в области безопасности. Поскольку это выпуск с исправлениями безопасности, рекомендуется немедленно обновить ваши сайты.
Команда по безопасности благодарит следующих людей за то, что они ответственно сообщили об уязвимостях и дали возможность исправить их в этом выпуске:
В этом выпуске, посвящённом безопасности и обслуживанию, исправлено 17 ошибок в ядре системы, 21 ошибка в редакторе блоков и 11 уязвимостей в области безопасности. Поскольку это выпуск с исправлениями безопасности, рекомендуется немедленно обновить ваши сайты.
Команда по безопасности благодарит следующих людей за то, что они ответственно сообщили об уязвимостях и дали возможность исправить их в этом выпуске:
- Проблема, позволявшая с помощью специально сформированного URL установить и просмотреть тему с WordPress.org — о ней сообщили Paulos Yibelo и pwn.ai.
- Проблема хранимой межсайтовой подделки скриптов (XSS) в пользовательских изображениях шапки в некоторых темах — о ней сообщил Jeremy Felt из команды безопасности WordPress.
- Проблема раскрытия информации, из‑за которой становился виден заголовок приватного родительского поста, — о ней сообщила HDWSec.
- Проблема в HTML‑API, из‑за которой изменённый текст мог выйти за пределы HTML‑комментария, — о ней сообщил Jeremy Felt из команды безопасности WordPress.
- Проблема в мультисайтовой среде, позволявшая администратору сайта активировать на уровне сети плагин, предназначенный только для сети, — о ней сообщил Jesse McNeil.
- Проблема произвольной перезаписи записей с ролью Contributor+ — о ней сообщила Anthropic.
- Проблема обхода пути (path traversal) при аутентификации в контроллере шаблонов REST API — о ней сообщила Anthropic.
- Проблема с авторизацией, позволявшая любому аутентифицированному пользователю менять родительскую связь комментариев (в том числе заметок), — о ней сообщил viridis.
- Проблема в XML‑RPC, позволявшая постам с наборами изменений (changeset) обходить проверку прав на использование пользовательского CSS, — о ней сообщил Ben Bidner из команды безопасности WordPress.
- Раскрытие черновых и ожидающих публикации слагов постов с ролью Contributor+ — о нём сообщил hermanhms.
- Неаутентифицированная проблема хранимой межсайтовой подделки скриптов (XSS) через форматирование абзацев (при условии одобрения комментария) — о ней сообщил Rafie Muhammad (Awesome Motive, Inc.).