Najnowsza aktualizacja WordPressa (7.1.4) wprowadza poprawki dla 22 podatności, z których najgroźniejsza pozwala na zdalne wykonanie kodu (RCE). Problem wynika z błędu typu race condition podczas procesu aktualizacji, gdzie napastnik może uzyskać dostęp do rozpakowanych plików instalatora w katalogu wp-content/upgrade/.
Atak wymaga precyzyjnego czasu i publicznego dostępu do folderu tymczasowego, ale pozwala na uruchomienie instalatora z własną bazą danych. Deweloperzy zabezpieczyli ten proces poprzez dodanie losowych znaków do nazw folderów oraz przywrócenie ochrony pliku index.php.
Naprawiono również szereg podatności typu Stored XSS w Interactivity API, Customizerze oraz przy przetwarzaniu bloków i obrazów. Poprawki dotyczą także błędów w kontroli dostępu do notatek oraz wycieków danych w procesie usuwania informacji osobistych. Wersja 7.1.4 jest dostępna dla różnych gałęzi wsparcia, w tym starszych wersji, takich jak 7.0.8 czy 6.9.11.
