Thème · 3 nouvelles
WordPress
Cette page rassemble ce qui bouge dans l'écosystème WordPress : versions du cœur, extensions et constructeurs, failles à corriger. Je l'écris pour les intégrateurs, développeurs et responsables de sites qui veulent savoir ce qui change pour eux et quoi faire, sans lire chaque annonce.
WordPress 7.2 réécrit wp_kses() sur l'API HTML
Le filtre qui nettoie le HTML enregistré par les utilisateurs sans le droit unfiltered_html est réécrit sur l'API HTML, pour la 7.2 ou la 7.3. L'interface ne change pas, la sortie si : balises en minuscules, attributs entre guillemets doubles, contenu d'un script interdit retiré avec lui, texte comme <$500 échappé au lieu d'être supprimé. Le filtre wp_kses_force_legacy_parser rétablit l'ancien comportement. WordPress 7.2 sort le 8 décembre, bêta 1 le 20 octobre.
Le geste
Dès la bêta 1, faites tourner les tests de vos thèmes et extensions qui comparent du HTML filtré, et repérez les contenus de contributeurs qui changeraient à l'enregistrement.
WordPress 7.1.3 corrige sept failles
La version du 6 octobre corrige sept failles, dont une XSS stockée sur l'écran des commentaires, une injection SQL dans l'export WXR et la lecture sans authentification de commentaires d'articles privés. Plusieurs supposent un compte de contributeur ou plus. Des correctifs sont annoncés pour les anciennes branches, jusqu'à la 4.7.
Le geste
Passez en 7.1.3 et videz le cache de pages, sans oublier les intégrations Imgur déjà en cache ; sur une ancienne branche, vérifiez que votre version a bien reçu le correctif, et revoyez qui détient un rôle de contributeur ou plus.
Bricksforge exploité, et une campagne qui cache son propre administrateur
L'extension Bricksforge, jusqu'à la 3.1.8.9, permet de téléverser un fichier sans authentification puis d'exécuter du code ; elle est attaquée depuis le 7 octobre, la 3.1.8.10 corrige. Une autre campagne exploite des XSS stockées de Ninja Forms (avant 3.15.4) et de WPC Product Bundles (avant 8.6.7) : une seule exécution dans la session d'un administrateur laisse un compte caché par un mu-plugin, une URL de connexion secrète et un faux plugin de gestion de fichiers. Le détail de la campagne donne les indices à chercher.
Le geste
Mettez ces extensions à jour, puis comparez les administrateurs en base avec ceux qu'affiche l'administration, inspectez wp-content/mu-plugins et régénérez les clés de salage.