28 октября вышла WordPress 7.1.4. Команда рекомендует установить обновление без промедления: оно устраняет несколько проблем безопасности, в том числе в механизме обновления самой CMS. На Mentoring.digital объясняем, что изменилось и как проверить сайт после установки.
Какие проблемы исправлены
В процессе обновления закрыта уязвимость, которая могла привести к удалённому выполнению кода в период установки. Исправлены также сохранённые XSS в обработке блоков, Interactivity API и Customizer. Такие ошибки связаны с возможностью сохранить содержимое, которое позднее выполняется в браузере другого пользователя как скрипт.
Отдельные исправления касаются доступа к неопубликованным изменениям Customizer и заметкам у записей. Обновлён набор корневых сертификатов. У этих проблем разные условия эксплуатации, поэтому неверно описывать весь выпуск как одну одинаково доступную атаку.
Что делать владельцу сайта
Сначала проверьте установленную версию в панели управления. Если на сайте работают автоматические фоновые обновления, установка может начаться самостоятельно, но её результат нужно подтвердить. Для ручного обновления предусмотрен штатный раздел «Обновления».
Редакция рекомендует сохранить пригодную для восстановления копию файлов и базы данных. На тестовой копии проверьте совместимость используемой темы и плагинов. Если обновлением занимается подрядчик, попросите назвать фактически установленную версию и показать результат проверки основных сценариев.
Как принять обновление
Открытая главная страница ещё не доказывает, что сайт сохранил все функции. Составьте короткий список того, чем действительно пользуются посетители и редакторы: вход в кабинет, поиск, отображение материалов, редактирование черновика и работа форм в предусмотренном тестовом режиме. Сравните результат до и после установки. Реальные платежи и рассылки ради такой проверки запускать не нужно.
Зафиксируйте ошибки и журналы, если какой-либо сценарий перестал проходить. Не отключайте защитные механизмы только для того, чтобы убрать сообщение об ошибке. Разобрать устройство WordPress-проекта и совместимость расширений можно с наставником по PHP. Эта новость описывает выпуск разработчиков; обновление сайта читателя редакция не выполняла.
