Sete parches de seguridade, catro correccións de erros e unha letra pequena que quen xestiona sitios non debería saltar.
Tes as actualizacións automáticas activadas e pensas que, entón, xa non hai nada que mirar. Case. WordPress 7.1.3 chegou o 6 de outubro con sete correccións de seguridade, e polo menos unha delas non se arranxa soa co botón de actualizar.
Segundo o anuncio oficial, a versión leva sete parches de seguridade e catro correccións de erros. Os sitios con actualizacións automáticas en segundo plano recibiranna sen que ninguén faga nada, e o resto pode lanzala desde Panel > Actualizacións.
Sete buratos, sete perfís distintos
A lista é variada. Hai un XSS almacenado na pantalla de comentarios do administrador, que se activa cun comentario pendente; unha denegación de servizo en WP_Http::make_absolute_url(); unha inxección SQL de segunda orde na exportación WXR; un permiso mal comprobado que deixaba aos usuarios Author marcar entradas como destacadas; un XSS a través de embeds de Imgur; e un problema coa forma en que se constrúen os nomes de certos hooks.
Convén non asustarse de máis co da exportación: segundo Patchstack, só se chega a ela ao exportar un tipo de contido concreto, non coa opción de exportar todo.
E hai unha que lle toca de preto a calquera blog: a fuga de comentarios de entradas privadas ou sen publicar, que non pedía ter conta.
Canta présa hai
O anuncio oficial non dá puntuacións de gravidade nin CVE. Patchstack, que desmonta os parches con detalle, resume o cadro así: só dúas das sete se poden provocar sen conta, e unha delas precisa que un moderador faga clic nunha ligazón. As demais piden como mínimo un rol de Contributor. A súa lectura é de urxencia, non de emerxencia.
A letra pequena
O detalle que máis se pode escapar está no caso de Imgur. A corrección retira ese servizo da lista de provedores de confianza de oEmbed, pero, segundo Patchstack, non borra o contido que xa estea gardado en caché. Se un embed malicioso estaba aí, seguirá aparecendo ata que limpes a caché.
Tampouco as fontes coinciden nun punto: o anuncio oficial fala de parches levados a todas as ramas elixibles, actualmente ata a 4.7, mentres que Patchstack di que no momento da publicación as ramas da 4.7 á 6.5 non estaban parcheadas e que o backport chegaba á 6.6. Quen manteña un sitio antigo debería comprobalo antes de dar nada por feito.
A nosa lectura
Para quen leva webs de clientes, a rutina é curta: actualizar, limpar a caché e botarlle un ollo a quen ten rol de Contributor ou superior, porque case todas as correccións falan do que eses roles poden facer.
É como cambiar a cerradura e deixar a chave vella debaixo do felpudo: o cambio está ben, pero o traballo non remata ata que retiras o que quedou. Non é para alarmarse, pero tampouco para deixalo para a semana que vén.
