Etiqueta: Seguridad

Ya está disponible WordPress 4.9.1. Esta es una actualización de seguridad y mantenimiento para todas las versiones desde WordPress 3.7. Te recomendamos encarecidamente que actualices inmediatamente tus sitios.

Las versiones de WordPress 4.9 y anteriores están afectadas por problemas de seguridad que podrían, potencialmente, ser aprovechados como parte de un ataque en varios vectores. Como parte del lanzamiento en marcha del equipo principal del núcleo, para fortalecer las seguridad, se han implementado las siguientes soluciones en la versión 4.9.1:

1. Uso de un hast generado correctamente en la clave newbloguser en vez de una subcadena determinada.
2. Añadido un escape a los atributos de idioma utilizados en los elementos html.
3. Asegurar que los cierres de atributos se escapan correctamente en los feeds RSS y Atom.
4. Eliminada la posibilidad de subir archivos JavaScript por los usuarios que no tengan la capacidad de unfiltered_html.

Gracias a los que han informado de estos problemas por practicar la divulgación responsable: Rahul Pratap Singh y John Blackbourn.

Se han solucionado otros once fallos en WordPress 4.9.1. En concreto citamos estos:

• Problemas relacionados con la caché de los archivos de plantillas de temas.
• Un error de MediaElement JavaScript que impedía que usuarios de ciertos idiomas pudieran subir archivos de medios.
• La imposibilidad de editar archivos de temas y plugins en servidores basados en Windows.

Si quieres aprender más esta entrada tiene más información sobre los problemas solucionados en la versión 4.9.1.

Descarga WordPress 4.9.1 o pásate por tu Escritorio → Actualizaciones y simplemente haz clic en “Actualizar ahora.”Los sitios compatibles con las actualizaciones automáticas en segundo plano ya se están actualizando a WordPress 4.9.1

Gracias a todos los que han colaborado con la versión 4.9.1

Alain Schlesser, Andrea Fercia, Angelika Reisiger, Blobfolio, bobbingwide, Chetan Prajapati, Dion Hulse, Dominik Schilling (ocean90), edo888, Erich Munz, Felix Arntz, Florian TIAR, Gary Pendergast, Igor Benic, Jeff Farthing, Jeffrey Paul, jeremyescott, Joe McGill, John Blackbourn, johnpgreen, Kelly Dwan, lenasterg, Marius L. J., Mel Choyce, Mário Valney, natacado, odyssey, precies, Saša, Sergey Biryukov y Weston Ruter.

Ya está disponible WordPress 4.7.3. Esta es una actualización de seguridad para todas las versiones previas y te animamos encarecidamente a actualizar inmediatamente tus sitios.

Todas las versiones de WordPress 4.7.2 y anteriores están afectadas por seis problemas de seguridad:

1. Cross-site scripting (XSS) a través de metadatos de archivos de medios. Informado por Chris Andrè Dale, Yorick Koster y Simon P. Briggs.
2. Los caracteres de control pueden engañar a la validación de redirección de la URL. Informado por Daniel Chatfield.
3. Los administradores pueden borrar archivos sin querer al usar la funcionalidad de borrado de plugins.  Informado por xuliang.
4. Cross-site scripting (XSS) a través de la URL del vídeo en incrustados de YouTube. Informado por Marc Montpas.
5. Cross-site scripting (XSS) a través de nombres de términos de taxonomías. Informado por Delta.
6. Cross-site request forgery (CSRF) en Publicar esto que lleva a un consumo excesivo de recursos del servidor. Informado por Sipke Mellema.

Gracias a los que informaron de estos problemas practicando la revelación responsable.

Además de los problemas de seguridad informados arriba, WordPress 4.7.3 contiene 39 ajustes de mantenimiento para toda la serie de versiones 4.7. Para más información revisa las notas de la versión o consulta la lista de cambios.

Descarga WordPress 4.7.3 o pásate por el escritorio de WordPress → Actualizaciones y simplemente haz clic en “Actualizar ahora”Los sitios compatibles con las actualizaciones automáticas en segundo plano ya se están actualizando solos a WordPress 4.7.3.

Gracias a todos los que han colaborado con la versión 4.7.3: Aaron D. Campbell, Adam Silverstein, Alex Concha, Andrea Fercia, Andrew Ozz, asalce, blobfolio, bonger, Boone Gorges, Boro Sitnikovski, Brady Vercher, Brandon Lavigne, Bunty, ccprog, chetansatasiya, David A. Kennedy, David Herrera, Dhanendran, Dion Hulse, Dominik Schilling (ocean90), Drivingralle, Ella Van Dorpe, Gary Pendergast, Ian Dunn, Ipstenu (Mika Epstein), James Nylen, jazbek, Jeremy Felt, Jeremy Pry, Joe Hoyle, Joe McGill, John Blackbourn, John James Jacoby, Jonathan Desrosiers, Kelly Dwan, Marko Heijnen, MatheusGimenez, Mike Nelson, Mike Schroder, Muhammet Arslan, Nick Halsey, Pascal Birchler, Paul Bearne, pavelevap, Peter Wilson, Rachel Baker, reldev, Robert O’Rourke, Ryan Welcher, Sanket Parmar, Sean Hayes, Sergey Biryukov, Stephen Edgar, triplejumper12, Weston Ruter y wpfo.