Mit dem letzten grossen Versionssprung auf 7.0 hat sich wohl WordPress nicht nur ein paar kleine Probleme eingehandelt.
Am 22. Mai ist WordPress 7 herausgekommen, nachdem es auf Befehl des WordPress-Chefs verzögert worden ist. Danach kam am 17. Juli die Version 7.0.2. Ihr erinnert euch: Damals hat man ein Sicherheitsloch gefunden, das man stopfen musste, ich sag nur „wp2shell“.
Es wurde wohl nur 1 Loch geflickt, aber die anderen nicht, sodass am 6. August das neueste Sicherheitsupdate 7.0.3 herausgekommen ist.
Wenn man sich die Liste der Probleme anschaut, die geflickt worden sind, dann kommt dieses Update nicht wirklich überraschend.
- A Contributor+ stored cross-site scripting (XSS) issue in the Post Date block reported by Alex Concha of the WordPress Security Team
- A Contributor+ stored cross-site scripting (XSS) issue in the Post Content block reported by n05ec
- An information disclosure issue in the Latest Comments block exposing comments on password-protected posts reported by Ehtisham Siddiqui of the WordPress Security Team
- A bypass of the email address confirmation flow reported by 0ways
- An Author+ CSS injection issue via a bypass of the safe CSS attribute filter reported by Anthropic
- A Contributor+ stored cross-site scripting (XSS) issue in posts via the emoji settings element reported by Asaf Mozes (amosec)
- A privilege escalation issue on multisite networks with user registration enabled, allowing a user to create a new site reported by Aikido Security
- A server-side request forgery (SSRF) issue in URL validation allowing requests to link-local ranges reported by Andrew Mohawk and multiple independent reporters
- A pre-auth reflected cross-site scripting (XSS) issue on the login screen with potential to lead to PHP code execution reported by the team at pwn.ai
- A disclosure of notes in comment feeds reported by Elio Gubser
- An enumeration of post slugs reported by HDWSec
- A Contributor+ stored cross-site scripting (XSS) issue in Quick Edit on sites with a large number of users reported by Naveen S and Ajmal Moochingal
Also Leute, ich schlage wirklich vor, dass ihr dieses Update ASAP durchführt. Vor allem in Zeiten von KI sollte man nicht wochenlang warten, bis man solche Sicherheitsupdates einspielt – die KI ist vermutlich bereits dabei, auf Befehl von bösen Mächten diese Lücken auszunutzen …
Also Backup machen und danach sofort updaten.
Übrigens – die WordPress-Version 7.1 ist für den 19. August 2026 geplant …
0 Kommentare