WPML 4.5.14 — улучшения безопасности

Мы только что выпустили WPML 4.5.14 с небольшим улучшением безопасности.

Несколько недель назад мы получили сообщения об уведомлении о безопасности, связанном с WPML. Это уведомление отображается только в панели управления Plesk и описывает проблему как «Уязвимость подделки межсайтовых запросов (CSRF)». Мы благодарны всем, кто сообщил об этом.

Обновление: после выпуска WPML 4.5.14 мы получили от клиентов сообщения о том, что он успешно устраняет соответствующее уведомление о безопасности в Plesk.

Когда проявляется эта уязвимость

Крайне маловероятно, что эта проблема будет использована злоумышленниками, и она возникает только при очень специфических обстоятельствах:

• Пользователь с правами администратора нажимает на вредоносную ссылку с внешнего сайта, используя ту же сессию/файлы cookie браузера

…и также верно одно из следующих утверждений:

• Сервер явно настроен на разрешение совместного использования ресурсов между разными источниками (CORS) с доменом, используемым злоумышленником
• Пострадавший пользователь использует браузер, который игнорирует настройки CORS или передает информацию файлов cookie для запросов без политик перекрестного происхождения

Насколько нам известно, никто на самом деле не настраивал свои сайты таким образом, и никто не пострадал от этой проблемы.

WPML 4.5.14 уже выпущен и решает эту проблему.

Важность отчетов о безопасности

Мы осознаем важность отчетов о безопасности и обычно реагируем немедленно. На этот раз мы отвлеклись на проблемы, связанные с WordPress 6.1, поэтому на ответ ушло немного больше времени, чем обычно.

Мы уже улучшаем наш рабочий процесс, чтобы гарантировать, что даже самые незначительные отчеты о безопасности расследуются, исправляются, а обновления выпускаются немедленно.

Как обновиться до WPML 4.5.14

Этот релиз развертывается постепенно. Если Вы хотите получить его прямо сейчас, Вы можете проверить наличие обновления вручную. Для этого перейдите в Плагины → Добавить новый и нажмите на вкладку Коммерческие. Затем нажмите Проверить обновления.

Вы также можете скачать его напрямую из Вашей учетной записи WPML.

Есть мысли или отзывы?

Используйте комментарии ниже, чтобы поделиться с нами своими мыслями об этом релизе, и мы Вам ответим.