WordPress 3.8.2 Security Release

Mentre continua l'implementazione di WordPress 3.9, attualmente in fase di Release Candidate, gli sviluppatori del Blog engine/CMS Open Source più diffuso della Rete hanno dovuto rimettere mano anche all'attuale versione stabile, WordPress 3.8.2 è infatti una Security Release realizzata e ora rilasciata in seguito all'individuazione di alcune problematiche che, secondo quanto riportato dal Lead Developer Andrew Nacin, avrebbero afflitto tutte le precedenti release.

Il passaggio immediato a quest'ultimo aggiornamento è fortemente raccomandato, ciò perché le correzioni apportate dovrebbero aver rimosso una vulnerabilità che, almeno in teoria, avrebbe permesso ad un utente malintenzionato di sferrare un attacco di tipo authentication cookie forgery attraverso il quale violare un'installazione di WordPress.

Oltre alla problematica già citata, ne sarebbe stata risolta un'altra per la prevenzione di azioni basate sulla privilege escalation, cioè l'accesso da parte di utenti non autorizzati a funzionalità loro precluse attraverso il sistema di attribuzione dei ruoli; in pratica, nelle versioni precedentemente rilasciate sarebbe stata riscontrata una falla utilizzabile per la pubblicazione di post da parte dei contributors.

Per quanto riguarda le altre correzioni apportate, assumerebbero una certa rilevanza gli interventi operati al fine di rendere più sicuro il passaggio di informazioni per i pingbacks consentendo di identificare eventuali richieste indesiderate, per incrementare il livello di protezione contro i tentativi di SQL injection e per la prevenzione di problematiche derivanti dal cross-domain scripting attraverso Plupload, il Multi-runtime File-Uploader di terze parti utilizzato dal CMS per il caricamento dei file.

Le installazioni che supportano gli aggiornamenti automatici in background dovrebbero essere state già messe in sicurezza nelle scorse ore, chi invece utilizza in produzione la release 3.7.1 riceverà un aggiornamento alla 3.7.2 a carico della quale dovrebbero essere stati effettuati i medesimi interventi; intanto, la recente riapertura di alcuni tickets considerati prima chiusi potrebbe ritardare il rilascio della seconda Release Candidate di WordPress 3.9.

Via WordPress Codex