Choć numer wersji może sugerować niewielką, techniczną aktualizację, jej zakres jest znaczący. Poprawki dotyczą m.in. edytora blokowego, Interactivity API, Personalizacji, zarządzania użytkownikami, moderowania komentarzy oraz samego mechanizmu aktualizacji WordPressa.
Największa grupa problemów: podatności XSS
Znaczna część poprawek dotyczy ataków typu cross-site scripting (XSS), w tym wariantu przechowywanego, określanego jako stored XSS. W praktyce oznacza to możliwość zapisania w treści strony niebezpiecznego kodu, który może zostać później wykonany w przeglądarce innego użytkownika.
Wiele opisanych problemów wymagało konta z uprawnieniami współtwórcy, autora lub redaktora. Nie oznacza to jednak, że są mało istotne. Na stronach z wieloma autorami, redakcjami, sklepach lub serwisach umożliwiających użytkownikom publikowanie treści takie konta są często powszechnie wykorzystywane. Przejęcie jednego z nich mogło więc stworzyć realne ryzyko również dla administratorów i odwiedzających.
Poprawki obejmują m.in.:
- sposób interpretowania znaczników bloków;
- obsługę odnośników i zdarzeń w Interactivity API;
- etykiety bloków paginacji komentarzy i nawigacji między wpisami;
- blok kategorii;
- mechanizm selektywnego odświeżania w Personalizacji;
- ekran żądań usunięcia danych osobowych.
To dobry przykład tego, że bezpieczeństwo WordPressa nie sprowadza się wyłącznie do ochrony formularza logowania. Istotne jest również bezpieczne przetwarzanie treści tworzonych przez użytkowników o ograniczonych uprawnieniach.
Nie tylko XSS
Wydanie 7.1.4 usuwa także problemy o innym charakterze. Jednym z nich było ujawnianie nieopublikowanych zmian z Personalizacji osobom, które nie były zalogowane. Innym — błąd uprawnień pozwalający niektórym niestandardowym rolom moderującym komentarze na przeglądanie, edytowanie i usuwanie notatek przy wpisach, których nie mogły edytować.
Szczególnie poważnie należy potraktować poprawkę warunku wyścigu występującego podczas aktualizacji rdzenia, który mógł prowadzić do zdalnego wykonania kodu. Zaktualizowano również dołączone certyfikaty główne w związku z unieważnieniem certyfikatów eMudhra.
Łącznie pokazuje to, że aktualizacja nie ogranicza się do jednego komponentu. Jej instalacja zabezpiecza kilka różnych obszarów systemu — od publikowania treści po komunikację z zewnętrznymi usługami.
Poprawki dla starszych wersji nie zastępują aktualizacji
Twórcy udostępnili odpowiednie poprawki również dla wielu starszych gałęzi WordPressa. Zakres łatek różni się jednak w zależności od wersji: nie każda starsza odsłona była podatna na wszystkie 22 problemy. WordPress 4.6 i wcześniejsze wersje nie otrzymują już aktualizacji bezpieczeństwa.
Warto podkreślić, że publikacja poprawek dla starszych gałęzi jest dodatkowym ułatwieniem, a nie gwarancją ich długoterminowego wsparcia. Oficjalnie aktywnie wspierana jest wyłącznie najnowsza wersja WordPressa.
Jeżeli Twoja strona korzysta ze starszego wydania, instalacja odpowiedniej poprawki może być rozwiązaniem doraźnym. Docelowo najlepiej jednak zaplanować pełną aktualizację, sprawdzając wcześniej zgodność motywu i wtyczek.
Jak bezpiecznie przeprowadzić aktualizację?
Przed rozpoczęciem warto wykonać kilka podstawowych czynności:
- Utwórz kopię zapasową plików i bazy danych. Upewnij się też, że kopię można przywrócić.
- Zaktualizuj WordPressa z poziomu panelu administracyjnego, wybierając Kokpit → Aktualizacje.
- Sprawdź działanie strony, zwłaszcza formularzy, komentarzy, edytora blokowego, Personalizacji oraz elementów interaktywnych.
- Wyczyść pamięć podręczną, jeśli korzystasz z wtyczki cache lub buforowania po stronie serwera.
- Przy rozbudowanych lub krytycznych biznesowo serwisach przeprowadź wcześniej test na kopii stagingowej — bez nieuzasadnionego odkładania wdrożenia poprawek bezpieczeństwa.
Czy warto aktualizować od razu?
Tak. WordPress 7.1.4 nie wprowadza zmian, dla których warto opóźniać aktualizację ze względu na nowe funkcje czy modyfikacje interfejsu. Jej głównym zadaniem jest usunięcie znanych podatności, w tym problemów mogących dotyczyć stron z wieloma użytkownikami i rozbudowanym systemem uprawnień. Sam producent zaleca natychmiastową instalację tego wydania.
Najrozsądniejsze podejście to krótka przygotowawcza kontrola techniczna, wykonanie kopii zapasowej i możliwie szybka aktualizacja. W przypadku tego wydania pozostawanie przy starszej wersji oznacza świadome pozostawienie strony z podatnościami, dla których dostępne są już gotowe poprawki.
