Per tutti coloro che utilizzano Wordpress, l’onnipotente CMS (Content Management System, ndr) per il loro blog/sito, è stata rilevata una falla di sicurezza nell’ultima versione stabile: la 2.0.5. Si tratta solo di correggere una riga, la numero 114 del file wp-admin/templates.php.
Il tutto è dettagliatamente descritto nel WordPress Trac dove potete trovare anche la semplice soluzione che consta semplicemente della sostituzione della riga incriminata che causerebbe una vulnerabilità XSS (Cross Site Scripting, ndr). Io ho già effettuato la correzione, anche se fortunatamente non avevo riscontrato problemi che evidenziassero la presenza di tale problema: ma si sa, la prudenza non è mai troppa.
Se volete fare una correzione al volo scaricate da qui il file corretto e compresso ne formato zip, scompattatelo e copiatelo nella cartella wp-admin sovrascrivendo l’attuale. Altrimenti se preferite fare la correzione a mano andate alla linea 114 che dovrebbe essere come la seguente:
echo "<li><a href='templates.php?file=" . attribute_escape($recent) . "'>" . get_file_description(basename($recent)) . "</a></li>";
e sostituirla con la seguente:
echo "<li><a href='templates.php?file=" . attribute_escape($recent) . "'>" . wp_specialchars(get_file_description(basename($recent))) . "</a></li>";
Allora fatto? Siete più tranquilli ora? Un ringraziamento a Giorgio Zanetti dal quale sono venuto a conoscenza della notizia ed a Exploit.
{ 3 commenti… Leggili qui sotto o aggiungine uno }
Grazie per la dritta
Non lo mica sai… io ho la 2.0.5 da quando è uscita perchè l’aggiornamento è stato rapido ed indolore.
Dovresti andare a vedere il file wp-admin/templates.php se ha lo stesso problema.
Comunque non credo si nulla di allarmante, solo che visto che è stato scoperto e su può “riparare” chi ce l’ha è meglio che lo faccia secondo me.
E la 2.0.4 ce l’ha pure lei sto buco?