Пофиксена XSS уязвимость в WordPress

Там обнаружились проблемы, у тех, кто имел глупость установить ВП в БД с кодировкой 1251.

А нефик лазить в ядро..

Вчера опубликована ещё одна уязвимость ВП.

Пруф: http://klikki.fi/adv/wordpress2.html

Суть - позволяет исполнять JavaScript в форме комментариев.

Уязвимые версии:

Обратите внимание - ВП 4.1.3 в этом списке нет.

SeVlad, когда ждать фикс последней версии?

---------- Добавлено 27.04.2015 в 19:10 ----------

Погуглил, автор - нехороший человек, взял и выложил в открытый доступ. До фикса рекомендуют закрыть комменты. Этот апрель войдет в анналы истории вп.

Да мне не докладают :) Но обычно подобное латается в течении нескольких дней.

Можно это добавить, что бы ограничить кол-во текста в форме (нагуглено):

add_filter( 'pre_comment_content', function( $content ) {
    if ( strlen( $content ) > 64000 )
        wp_die( 'Гуляй, Вася!' );

    return $content;
} );

Цифру 64000, ессно, можно поменять. ;)

Уже вышла.

Шустро :) Я так понимаю, что версии старше 3.9.3 не задело? Есть парочка 3.7.7 на отдельном хосте, автообновление у них не выключал.

Ты ж о 3.9.4/5? Не могу знать наверняка, но вполне возможно.

Нет, еще старше. Ладно, обновлюсь, просто к ним надо доступ восстанавливать.

ЗЫ: туговато обновляется, лучше завтра попробовать.

Сегодня эта уязвимость пофиксена во всех ветках ВП, начиная с 3,7.

Последнюю версию ветки можно посмотреть тут. (Прим. Тут даты, когда был собран русский дистр.)

Быстро сработали, молодцы.

Моментом выпустили 4.2.1