WordPress 7.1.1: atualização de manutenção e segurança

Esta atualização de manutenção e segurança inclui 17 correções de erros no Core, 19 correções de erros no editor de blocos e 11 correções de segurança.

Como esta é uma atualização de segurança, recomendamos atualizar seus sites imediatamente.

Você pode baixar o WordPress 7.1.1 no WordPress.org ou acessar o painel do WordPress, clicar em “Atualizações” e depois em “Atualizar agora”. Se você tiver sites compatíveis com atualizações automáticas em segundo plano, o processo de atualização será iniciado automaticamente.

O WordPress 7.1.1 é uma versão de ciclo curto. A próxima versão principal será a versão 7.2 e está atualmente planejada para dezembro.

Para obter mais informações, visite o site do HelpHub do WordPress 7.1.1.

Atualizações de segurança incluídas nesta versão

A equipe de segurança gostaria de agradecer às pessoas a seguir por relatarem vulnerabilidades com responsabilidade e permitirem que fossem corrigidas nesta versão:

• Cross-site scripting armazenado em wpautop() permite que um visitante não autenticado injete um script (sujeito à aprovação do comentário), relatado por Rafie Muhammad (Awesome Motive, Inc.).
• A API de HTML: set_modifiable_text() permite o escape de um comentário por meio de sequências de fechamento abrupto, relatado por Jeremy Felt, da equipe de segurança do WordPress.
• XSS armazenado em alguns temas que oferecem suporte a cabeçalhos personalizados, relatado por Jeremy Felt, da equipe de segurança do WordPress.
• URLs especialmente elaboradas podem instalar e visualizar automaticamente um tema inativo do WordPress.org, relatado por Paulos Yibelo e pwn.ai.
• Um administrador do site pode ativar na rede um plugin instalado que funciona somente na rede, relatado por Jesse McNeil.
• Traversal de caminho autenticado no controlador de modelos da API REST do WordPress, relatado pela Anthropic.
• O XML-RPC pode ser usado para publicar posts com customize_changeset que contornam as verificações de edit_css, relatado por Ben Bidner, da equipe de segurança do WordPress.
• Sobrescrita arbitrária de posts por colaboradores ou usuários com permissões superiores, relatada pela Anthropic.
• A ausência da verificação de read_post em attachment_submitbox_metadata() expõe o título de um post pai privado, relatada por HDWSec.
• A ausência de autorização permite a divulgação do slug de posts em rascunho ou pendentes por colaboradores ou usuários com permissões superiores, relatada por hermanhms.
• Comentários, incluindo notas, podem ser reatribuídos a outro post por qualquer usuário autenticado, relatado por viridis.

Agradecemos aos colaboradores do WordPress

Este lançamento foi liderado por Adam Silverstein, Adrian Duffell, Andrei Draganescu e Aaron Jorbin.

O WordPress 7.1.1 não teria sido possível sem as contribuições das seguintes pessoas. Suas contribuições assíncronas para fornecer soluções de manutenção e segurança em uma versão estável é uma prova do poder e da capacidade da comunidade WordPress.

Aaron Jorbin, abrahamfariaz, Adam Silverstein, Adi Moldovan, Aki Hamano, Alex Concha, andreasca, Andrei Draganescu, Andrew Duthie, Andrew Serong, André Maneiro, annezazu, Anthony White, Arkaprabha Chowdhury, Azragh, Barry, buffer1024, Chunhui Ouyang, Courtney Robertson, Dagan, Daniel Richards, Daniel Rodriguez, David Biňovec, Deepak Kumar, Dennis Snell, DevSaiful, Dhruvang21, Dominik Schilling, Ehtisham Siddiqui, Ella Van Durpe, Erick Wambua, FahimMurshed, Fernando Tellado, fiocavallari, George Mamadashvili, George Vasiliades, gregbenz, Harish Tewari, Hit Bhalodia, Isabel Brison, Jake Spurlock, Jb Audras, Jeffrey Paul, Jeremy Felt, Jiwoon Kim, Joe Dolson, Joe Hoyle, Joe McGill, Joen Asmussen, Johannes Jülg, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Josh, Kamran Abdul Aziz, Khokan Sardar, Kira Schroder, kleisauke, Kushagra Goyal, l1onofjudah, Lance Willett, luksusspokoju, Manzoor Wani, Marco Ciampini, marcs0h, Marin Atanasov, Michael, Mohammad Jangda, mrkenobi, Mukesh Panchal, Nawazkhan Pathan, Nik Tsekouras, Parth Jogi, Pascal Birchler, Paul Biron, Paul Kevan, Peter Wilson, Rafie Muhammad, ramonopoly, Rashed Hossain, Ressl, Riad Benguella, Rudy Faile, Sainath Poojary, Scott Kingsley Clark, Sergey Biryukov, Shail Mehta, Shameem – a11n, siliconforks, Slava Abakumov, Sukhendu Sekhar Guria, Utsav Ladani, vortfu, Weston Ruter, wolf45 e representantes da Automattic, Bluehost, GoDaddy, Pantheon e WP Engine.

Backports

Como cortesia, as correções de segurança estão sendo adaptadas, quando necessário, para todas as versões elegíveis para receber correções de segurança (atualmente até a 4.7). Lembre-se: somente a versão mais recente do WordPress tem suporte ativo. As adaptações estão em andamento e serão disponibilizadas assim que estiverem prontas.

Como contribuir

Para participar do desenvolvimento do núcleo do WordPress, acesse o Trac, escolha um ticket e participe da conversa no canal #core. Precisa de ajuda? Consulte o Manual do colaborador do Core.

Agradecemos a Ehtisham Siddiqui, Lance Willett, Weston Ruter e Adam Silverstein pela revisão no post original.