techjam.itWordpress 2.5

Aggiornare o non aggiornare… Passare alla 2.5 oppure aspettare la 2.5.1?Il dilemma è veramente enorme tuttavia molti di noi si sono lasciati trasportare dalle novità grafiche e funzionali di WordPress 2.5.

Oggi vi voglio segnalare tuttavia due exploit presenti in WordPress 2.5 (anche se ce n’è uno pure in WordPress 2.3.3). Il primo consente all’utenza senza i diritti di creare altri utenti, di crearli. Il secondo è definito un “multiple SQL injection”: dal form del commento è possibile inserire codice malevolo, prendere e modificare dati direttamente all’interno del database.

Andiamo ora nel dettaglio degli errori di WordPress 2.5.

Come è noto, WordPress 2.5 ha alcuni gravi errori nel sistema di upload dei file multimediali ed alcune incompatibilità con IE 7. Se questo non bastava a rilasciare la 2.5.1, credo che un bug critical lo sia.

A distanza di poche ore dal rilascio ufficiale di WordPress 2.5, è stato rilevato una falla di sicurezza indicata come “critical”. Un utente registrato su WordPress che non ha permessi per modificare gli altri utenti può creare un nuovo utente. Per fortuna qualche utente ha già provveduto a correggere l’errore.

La seconda falla credo sia da considerare a livello “super critical” infatti un visitatore potrebbe accedere DIRETTAMENTE al database SQL estraendo dati sensibili oppure modificandoli.

Le falle sono chiaramente molto gravi.

Ovviamente tutto questo pone anche una domanda agli utilizzatori di WordPress 2.5: perchè il team WordPress attende per il rilascio della patch? La mia ipotesi è che non voglia creare allarmismi oppure farsi una brutta “fama”. Ultimamente c’è una gara a chi rilascia prima la nuova versione “stabile” del CMS, quasi tutti questi, a causa di uno scarso test pre-rilascio, finiscono per avere una patch di sicurezza nei giorni successivi al rilascio. Penso che Worpdress.org lo voglia evitare.

Ma è giusto tutto ciò? Secondo me assolutamente no quindi consiglio a coloro che leggono questo articolo di diffondere il problema e diffondere la patch che ho incluso.

Patch:

Download HERE

Ricordo a tutti che questa patch risolve tutti i problemi di alto livello riscontrati e corretti fino ad ora su WordPress 2.5 ma non risolve la seconda falla, dato che non ho ulteriori informazioni per analizzarla.

Per l’installazione potete sostituire senza paura tutti i files. Le correzioni sono ufficiali

Grazie a tutti.