WordPress 7.1.3 salió el martes 6 de octubre y vuelve a ser una versión de seguridad: corrige siete vulnerabilidades y cuatro fallos más del núcleo. El equipo de WordPress recomienda actualizar de inmediato. Si tu web tiene los comentarios abiertos o varios usuarios con acceso al escritorio, esta actualización va contigo.
Qué se ha corregido
De las siete, estas son las que más pueden afectar a una web normal:
- XSS almacenado en la pantalla de Comentarios. Un comentario pendiente de moderar podía llevar código que se ejecutaba al abrir la pantalla de comentarios del escritorio. Es decir, el código se dispara justo cuando un administrador entra a revisar lo que tiene pendiente.
- Comentarios de entradas privadas a la vista. Un visitante sin cuenta podía leer los comentarios de entradas privadas o sin publicar. Si usas entradas privadas para compartir algo con unos pocos, lo que se dijera debajo no estaba tan protegido como creías.
- Inyección SQL de segundo orden en la exportación WXR. Es el archivo que genera Herramientas > Exportar. Un dato guardado antes se acababa metiendo en una consulta a la base de datos al exportar.
- Denegación de servicio en la función
WP_Http::make_absolute_url(), que WordPress usa para convertir direcciones relativas en completas. - El resto: un usuario con rol de autor podía fijar entradas como destacadas sin tener permiso para ello, un XSS en las incrustaciones de Imgur y unos parámetros que se podían falsificar en un gancho interno de WordPress.
WordPress no ha asignado identificadores CVE a ninguna de las siete.
Cómo te llega
Si tu web admite las actualizaciones automáticas en segundo plano, que es lo habitual en las versiones menores, el proceso empieza solo. Eso no significa que ya esté hecho: tarda en recorrer todas las instalaciones, y no llega si un plugin o una constante de wp-config.php tiene las actualizaciones automáticas desactivadas. Las correcciones también se están llevando a las ramas anteriores que reciben parches, que hoy llegan hasta la 4.7, aunque WordPress solo da soporte activo a la versión más reciente.
Qué hacer en tu hosting
- Comprueba la versión. Desde WP Toolkit, en tu Panel Plesk, ves de un vistazo qué versión tiene cada web y la actualizas al momento si no ha subido sola. Te lo explicamos en Qué es WP Toolkit y qué puedes hacer con él.
- Haz copia antes. Es una versión menor y el riesgo de romper algo es bajo, pero la costumbre es la que te salva el día que no lo es: Cómo hacer copias de seguridad de tu WordPress.
- Revisa los comentarios pendientes antes de abrirlos si tu web estaba sin actualizar: bórralos en bloque si no esperabas ninguno.
- Activa las automáticas si las tenías apagadas. Lo tienes en Cómo endurecer la seguridad de tu WordPress con WP Toolkit.
Una nota sobre la herramienta: Plesk publicó el 5 de octubre WP Toolkit 6.11.4, con correcciones de seguridad que no detalla. En nuestro hosting compartido las actualizaciones de Plesk y sus extensiones las aplicamos nosotros. Si tienes un VPS con tu propio Plesk, comprueba en Herramientas y configuración > Actualizaciones que la tienes instalada.
Si vienes de la 7.1.1
Es la segunda versión de seguridad en tres semanas: la 7.1.1 ya corrigió once fallos el 17 de septiembre. Si alguna web tuya se quedó atrás entonces, al actualizar ahora te llevas las dos tandas de golpe. Y si algo no te cuadra en el escritorio, entradas cambiadas o usuarios que no conoces, aquí tienes el paso a paso: Qué hacer si tu web ha sido hackeada.
Todos nuestros planes para WordPress, con WP Toolkit incluido, están en hosting WordPress.
Fuentes: WordPress 7.1.3 Maintenance and Security Release · Change Log de Plesk Obsidian