WPML 4.5.14 – Miglioramenti della sicurezza

Abbiamo appena rilasciato WPML 4.5.14 con un piccolo miglioramento della sicurezza.

Qualche settimana fa abbiamo ricevuto segnalazioni riguardo a un avviso di sicurezza relativo a WPML. L’avviso viene visualizzato solo nel pannello di controllo Plesk e descrive il problema come una “vulnerabilità Cross-Site Request Forgery (CSRF)”. Siamo grati a tutti coloro che lo hanno segnalato.

Aggiornamento: dopo il rilascio di WPML 4.5.14, abbiamo ricevuto segnalazioni dai clienti che confermano la corretta risoluzione del relativo avviso di sicurezza in Plesk.

Quando compare questa vulnerabilità

È estremamente improbabile che il problema venga sfruttato e si verifica solo in circostanze molto specifiche:

• Un utente con permessi di amministratore fa clic su un link dannoso da un sito esterno utilizzando la stessa sessione del browser/cookie

…e si verifica anche una delle seguenti condizioni:

• Il server è configurato esplicitamente per consentire la condivisione delle risorse tra origini (CORS) con il dominio utilizzato dall’aggressore
• L’utente interessato sta utilizzando un browser che ignora le impostazioni CORS o trasmette le informazioni sui cookie per le richieste senza criteri di condivisione tra origini

Per quanto ne sappiamo, nessuno ha effettivamente configurato i propri siti in questo modo e nessuno è stato colpito da questo problema.

WPML 4.5.14 è ora disponibile e risolve questo problema.

L’importanza delle segnalazioni di sicurezza

Siamo consapevoli dell’importanza delle segnalazioni di sicurezza e di solito reagiamo immediatamente. Questa volta, siamo stati rallentati dai problemi relativi a WordPress 6.1, quindi ci è voluto un po’ più del solito per rispondere.

Stiamo già migliorando il nostro flusso di lavoro per assicurarci che anche le più piccole segnalazioni di sicurezza vengano analizzate, corrette e rilasciate immediatamente.

Come aggiornare a WPML 4.5.14

Questa versione viene distribuita gradualmente. Se vuoi ottenerla subito, puoi controllare l’aggiornamento manualmente. Per farlo, vai su Plugin → Aggiungi nuovo e fai clic sulla scheda Commerciale. Quindi, fai clic su Controlla aggiornamenti.

Puoi anche scaricarlo direttamente dal tuo account WPML.

Opinioni, feedback?

Usa i commenti qui sotto per farci sapere cosa ne pensi di questa versione e ti risponderemo.