In attesa di WordPress 3.6, ormai in fase di test da mesi (attualmente è disponibile la quarta beta), gli sviluppatori del noto Blog engine hanno rilasciato WordPress 3.5.2, secondo aggiornamento dell'attuale ramo principale resosi necessario per la correzione di alcuni bug che esponevano le precedenti release a diverse tipologie di attacchi da parte di utenti malintenzionati.
Con questo upgrade sono stati apportati alcuni miglioramenti al livello di sicurezza dell'applicazione intervenendo al fine di:
- bloccare attacchi di tipo request forgery (mancato controllo sull'intenzionalità delle richieste) che avrebbero potuto consentire ad estranei di prendere il controllo di un'installazione;
- impedire la pubblicazione scorretta dei post da parte dei contributors o la loro riassegnazione ad autori diversi;
- aggiornare la libreria esterna SWFUpload per la risoluzione di una vulnerabilità che avrebbe potuto portare ad attacchi di tipo cross-site scripting;
- prevenire minacce di Denial of Service nei siti Web che utilizzano post protetti da password;
- aggiornare la libreria TinyMCE per la prevenzione di attacchi di tipo cross-site scripting;
- correggere un bug che consentiva la visualizzazione del percorso completo di un file in caso di fallito upload;
- apportare varie correzioni per la protezione da tentativi di cross-site scripting.
Dato l'importante numero di problematiche risolte si consiglia di effettuare quanto prima un aggiornamento all'ultima versione stabile di WordPress; l'augurio è che il lungo periodo resosi necessario per la gestazione della release 3.6 si riveli utile per il rilascio di una definitiva che necessiti di minori interventi dal punto di vista della sicurezza.
Via WordPress
