De recente beveiligingsupdate van WordPress pakt acht beveiligingslekken aan, waarvan er één de volledige overname van een site mogelijk maakt.
Onderhouds- en beveiligingsupdate voor WordPress 6.3.2
De recent uitgerolde WordPress 6.3.2-update bevat 41 verbeteringen en bugfixes. Echter, de belangrijkste toevoegingen zijn de oplossingen voor acht onlangs ontdekte kwetsbaarheden:
- Een kwetsbaarheid in de WordPress core die het willekeurig uitvoeren van shortcodes toestaat.
- Een lek waardoor niet-geauthenticeerde hackers e-mailadressen van gebruikers kunnen inzien.
- POP Chains-kwetsbaarheid waarmee op afstand code kan worden uitgevoerd.
- Cross-site scripting (XSS) lek binnen het berichtlink-navigatieblok.
- Blootstelling van commentaren op privéberichten.
- XSS-kwetsbaarheid in het wachtwoordscherm van de applicatie.
- XSS-kwetsbaarheid binnen het voetnotenblok.
- Cache poisoning-kwetsbaarheid die kan leiden tot een Denial of Service (DoS)-aanval.
Veel van deze kwetsbaarheden zijn ontstaan door onvoldoende invoercontrole, wat inhoudt dat de verwerkte gegevens schadelijke input niet effectief filteren.
De officiële WordPress ontwikkelaarspagina zegt:
WordPressUntrusted data comes from many sources (users, third party sites, even your own database!) and all of it needs to be checked before it’s used.
Sanitizing input is the process of securing/cleaning/filtering input data.
Validation is preferred over sanitization because validation is more specific.
But when ‘more specific’ isn’t possible, sanitization is the next best thing.
Alle kwetsbaarheden hebben een ‘middelzwaar’ risiconiveau gekregen, en er zijn patches beschikbaar voor alle vijf de middelzware kwetsbaarheden.
WordPress adviseert alle gebruikers om te controleren of hun WordPress-installaties zijn bijgewerkt naar de allerlaatste versie, WordPress versie 6.3.2.
Volgens de officiële aankondiging van WordPress:
WordPressBecause this is a security release, it is recommended that you update your sites immediately. Backports are also available for other major WordPress releases, 4.1 and later.
