Новата версия на WordPress запушва три дупки в сигурността

Новата WordPress 3.6.1, която е описана, като „издание, подобряващо поддръжката и сигурността“ оправя цели 13 бъга в известната CMS-платформа. На страницата на WordPress.org, водещият разработчик към компанията Андрю Насин (Andrew Nacin) пише, че новата версия е издание, което покрива въпросите по сигурността във всички предишни релийзи и екипът на WordPress подканя да обновите своите сайтове възможно най-бързо (за потребителите на WordPress.com ъпгрейда е автоматичен).

Трите големи проблема в сигурността на платформата, които изправя този релийз са PHP де-сериализация (което може да доведе до дистанционно изпълнение на случаен код), предпазва от появата фалшиви постове и изправя „недостатъчната входна валидация“, което пък може да доведе до пренасочване на потребителите към зловредни или непознати ресурси. Тук има и корекции, които се отнасят до възможността за ъплоуд на файлове и намаляване на риска от cross-site scripting.

Популярността на WordPress (само на версия 3.6 има седем милиона сваляния) прави платформата изключително привлекателна за атаки. Безплатно хостваната версия – WordPress.com – е дом на цели 70 млн. блога по цял свят, а по данни на Quintuo близо 20% от всички нови сайтове са изградени на нея.Що се отнася до пазара на системите за управление на съдържанието (control management systems, CMS) тя е далеч пред всички свои конкуренти с дял от 50%.

Според специалисти една основна причина за популярността на платформата е лекотата на ползване. В резултат от това се появяват огромен брой сайтове на основата на WordPress от блогъри, чиито познания в областта на технологиите и интернет защитата са неособено добри. А това означава – лесна мишена за кибермошеници.

„С наличието на едно такова огромно количество от сайтове, което е изградено на основата на WordPress е важно тези, които управляват съдържанието да поддържат системите си винаги обновени. Все пак, ако някой „пробие“ сайта ви и инжектира в него код, атаката ще се прехвърли към посетителите на страницата ви“, напомня един от уважаваните специалисти в областта на компютърната безопасност Греъм Клули.

Между другото, блогът на самия Клули е хостван чрез услуга, управлявана от WordPress, като той заяви, че вече е обновил инсталацията на платформата още докато е бил в леглото сутринта.

Та, много блогъри е добре да погледнат версията на платформата, която ползват и ако не е 3.6.1, то опцията за ъпдейт в Dashboard-а ще извърши обновлението.