Nachrichten

WordPress 7.1.3 Wartungs- und Sicherheitsrelease

Diese Sicherheits- und Wartungsversion enthält 7 Sicherheitskorrekturen und 4 Fehlerbehebungen.

Da es sich um eine Sicherheitsversion handelt, wird empfohlen, deine Websites umgehend zu aktualisieren.

Du kannst WordPress 7.1.3 von WordPress.org herunterladen oder in deinem WordPress-Dashboard auf “Aktualisierungen“ und anschließend auf „Auf Version 7.1.3 aktualisieren“ klicken. Wenn deine Websites automatische Hintergrund-Updates unterstützen, wird der Aktualisierungsvorgang automatisch gestartet.

Das Sicherheitsteam bedankt sich bei den folgenden Personen und Organisationen dafür, dass sie Sicherheitslücken verantwortungsbewusst gemeldet haben und es so ermöglicht haben, diese in diesem Release zu beheben:

• Ein gespeichertes XSS auf der Verwaltungsseite für Kommentare, das über ausstehende Kommentare ausgenutzt werden kann, gemeldet von Thomas Chauchefoin bei Trail of Bits
• Ein DoS-Problem in der Methode WP_Http::make_absolute_url(), gemeldet von Anthropic
• Eine SQL-Injection zweiter Ordnung im WordPress-WXR-Export, gemeldet von Anthropic
• Eine Schwachstelle, die es Benutzern mit der Rolle „Autor“ ermöglichte, Beiträge als „Sticky“ zu markieren, gemeldet von Anthropic
• Nicht authentifizierte Offenlegung von Kommentaren zu privaten und unveröffentlichten Beiträgen, gemeldet von Ananda Dhakal von Patchstack
• Imgur-Einbettungen sind anfällig für XSS, gemeldet von Zhengyu Liu, Jingcheng Yang und Gavin Zhong
• Fälschbare Parameter, die an den Hook {status}_{type} übergeben werden, können zu Kollisionen bei Aktionsnamen führen, gemeldet von Alex Concha vom WordPress-Sicherheitsteam

Diese Veröffentlichung wurde von Jake Spurlock geleitet.

WordPress 7.1.3 wäre ohne die Beiträge der folgenden Personen nicht möglich gewesen. Ihre asynchrone Zusammenarbeit bei der Einbindung von Wartungs- und Sicherheitskorrekturen in eine stabile Version ist ein Beweis für die Stärke und Leistungsfähigkeit der WordPress-Community.

Aaron Jorbin, Adam Silverstein, Adi Moldovan, Adrian Duffell, Alex Concha, Arkaprabha Chowdhury, Deepak Kumar, donniam, Ehtisham Siddiqui, Jake Spurlock, Jb Audras, Jeremy Felt, Joe Dolson, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Ken Gagne, Khokan Sardar, Lance Willett, lucatume, marcs0h, Peter Wilson, pkevan, RS Software, Rudy Faile, Sergey Biryukov, siliconforks, smerriman, Stephen Bernhardt, Suryakant Upadhyay, vortfu, webVerts, Weston Ruter, Yogesh Bhutkar

Aus Kulanz werden die Sicherheitskorrekturen, soweit erforderlich, auf alle Zweige zurückportiert, die für Sicherheitskorrekturen in Frage kommen (derzeit bis einschließlich 4.7). Zur Erinnerung: Nur die aktuellste Version von WordPress wird aktiv unterstützt. Die Rückportierungen sind im Gange und werden veröffentlicht, sobald sie fertig sind.

Um dich an der WordPress-Core-Entwicklung zu beteiligen, besuche Trac, wähle ein Ticket aus und beteilige dich an der Diskussion im Kanal #core. Benötigst du Hilfe? Schaue dir das Handbuch für Core-Mitwirkende an.