WordPress 7.1.1 – Actualización de seguridad y mantenimiento

Esta actualización de seguridad y mantenimiento incluye 17 correcciones de errores en Core , 19 correcciones de errores para el editor de bloques y 11 correcciones de seguridad.

Como se trata de una actualización de seguridad te recomendamos actualizar tus sitios de inmediato.

Puedes descargar WordPress 7.1.1 desde WordPress.org o acceder a tu escritorio de WordPress, hacer clic en «Actualizaciones» y, a continuación, en «Actualizar ahora». Si tienes sitios que admitan actualizaciones automáticas en segundo plano, el proceso de actualización comenzará automáticamente.

WordPress 7.1.1 es una versión de ciclo corto. La próxima versión principal será la 7.2 y está prevista para diciembre.

Para obtener más información, visita el centro de ayuda de WordPress 7.1.1 .

Actualizaciones de seguridad incluidas en esta versión

El equipo de seguridad desea agradecer a las siguientes personas por informar responsablemente sobre las vulnerabilidades y permitir que se corrijan en esta versión:

• Rafie Muhammad (Awesome Motive, Inc.) informó que una vulnerabilidad de secuencias de comandos entre sitios almacenada wpautop()permite que un visitante no autenticado inyecte código (sujeto a aprobación de comentarios).
• API HTML: set_modifiable_text()permite salir de un comentario mediante secuencias de cierre abrupto, según informó Jeremy Felt del equipo de seguridad de WordPress.
• Jeremy Felt, del equipo de seguridad de WordPress, informó sobre una vulnerabilidad XSS almacenada en algunos temas que admiten encabezados personalizados.
• Según informaron Paulos Yibelo y pwn.ai , unas URL especialmente diseñadas pueden instalar y previsualizar automáticamente un tema inactivo de WordPress.org.
• Según informó Jesse McNeil , el administrador del sitio puede activar en la red un plugin instalado que solo funciona en la red .
• Anthropic ha informado de un problema de identificación en el controlador de plantillas REST de WordPress.
• Según informó Ben Bidner del equipo de seguridad de WordPress, se puede utilizar XML-RPC para publicar customize_changesetentradas que eludan las comprobaciones de seguridad .edit_css
• Sobrescritura arbitraria de publicación por parte de colaboradores, informada por Anthropic.
• Según informa HDWSec , la falta de verificación de read_post en attachment_submitbox_metadata() filtra el título de una publicación principal privada.
• La falta de autorización conlleva a la publicación en borrador/pendiente de divulgación del slug por parte de Contributor+, según informa hermanhms.
• Los comentarios, incluidas las notas, pueden ser modificados por cualquier usuario identificado, según lo informado por viridis.

Gracias a estos contribuidores a WordPress

Este lanzamiento lo lideraron Adam Silverstein, Adrian Duffell, Andrei Draganescu y Aaron Jorbin.

WordPress 7.1.1 no habría sido posible sin las contribuciones de las siguientes personas. Su coordinación asíncrona para implementar correcciones de mantenimiento y seguridad en una versión estable es una muestra del potencial y la capacidad de la comunidad de WordPress.

Aaron Jorbin, abrahamfariaz, Adam Silverstein, Adi Moldovan, Aki Hamano, Alex Concha, andreasca, Andrei Draganescu, Andrew Duthie, Andrew Serong, André Maneiro, annezazu, Anthony White, Arkaprabha Chowdhury, Azragh, Barry, buffer1024, Chunhui Ouyang, Courtney Robertson, Dagan, Daniel Richards, Daniel Rodriguez, David Biňovec, Deepak Kumar, Dennis Snell, DevSaiful, Dhruvang21, Dominik Schilling, Ehtisham Siddiqui, Ella Van Durpe, Erick Wambua, FahimMurshed, Fernando Tellado, fiocavallari, George Mamadashvili, George Vasiliades, gregbenz, Harish Tewari, Hit Bhalodia, Isabel Brison, Jake Spurlock, Jb Audras, Jeffrey Paul, Jeremy Felt, Jiwoon Kim, Joe Dolson, Joe Hoyle, Joe McGill, Joen Asmussen, Johannes Jülg, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Josh, Kamran Abdul Aziz, Khokan Sardar, Kira Schroder, kleisauke, Kushagra Goyal, l1onofjudah, Lance Willett, luksusspokoju, Manzoor Wani, Marco Ciampini, marcs0h, Marin Atanasov, Michael, Mohammad Jangda, mrkenobi, Mukesh Panchal, Nawazkhan Pathan, Nik Tsekouras, Parth Jogi, Pascal Birchler, Paul Biron, Paul Kevan, Peter Wilson, Rafie Muhammad, ramonopoly, Rashed Hossain, Ressl, Riad Benguella, Rudy Faile, Sainath Poojary, Scott Kingsley Clark, Sergey Biryukov, Shail Mehta, Shameem – a11n, siliconforks, Slava Abakumov, Sukhendu Sekhar Guria, Utsav Ladani, vortfu, Weston Ruter, wolf45 , además de representantes de Automattic, Bluehost, GoDaddy, Pantheon y WP Engine.

Retrocompatibilidad

Como cortesía, las correcciones de seguridad se están implementando, cuando es necesario, en todas las ramas que pueden recibirlas (actualmente hasta la versión 4.7). Cabe recordar que solo la versión más reciente de WordPress cuenta con soporte activo. Las implementaciones están en curso y se distribuirán a medida que estén listas.

Cómo contribuir

Para participar en el desarrollo del núcleo de WordPress ve a Trac, crea una incidencia y únete a la conversación en el canal  #core . ¿Necesitas ayuda? Consulta el  Manual del colaborador del núcleo .