Вышла версия WordPress 7.1.1, в которой устранены 11 уязвимостей, 17 багов в ядре и 19 проблем, связанных с блочным редактором; среди тех, кто сообщил об этих проблемах, вновь значатся компания Anthropic и фирма pwn.ai, специализирующаяся на ИИ-пентесте.
Релиз, выпущенный в четверг одним из разработчиков Аароном Джорбином, был подготовлен под его руководством при участии независимого коммиттера Адама Силверстайна, коммиттера Андрея Драганеску и активного контрибьютора Адриана Даффелла. В список внесших вклад в этот выпуск вошли более 90 человек, а также представители компаний Automattic, Bluehost, GoDaddy, Pantheon и WP Engine.
Сайты с включенной функцией автоматического фонового обновления уже получили исправления; всем остальным рекомендуется незамедлительно обновить систему.
Компания Anthropic сообщила о двух из 11 уязвимостей: об уязвимости обхода путей в контроллере шаблонов WP REST и о возможности перезаписи постов пользователем с правами участника (Contributor). Специалисты pwn.ai совместно с исследователем Паулосом Йибело сообщили об уязвимости, позволяющей с помощью специально сформированных URL-адресов автоматически устанавливать и просматривать неактивные темы из репозитория WordPress.org.
Пожалуй, наиболее примечательным стало сообщение от Рафи Мухаммада (Awesome Motive) о хранимой XSS-уязвимости в функции wpautop(), которая позволяет неавторизованному посетителю внедрить скрипт (при условии, что комментарий подлежит модерации). Это уязвимость с самым низким порогом доступа среди всех исправленных в данном релизе проблем.
Участники команды безопасности WordPress (WordPress Security Team) самостоятельно обнаружили три из одиннадцати уязвимостей. Две проблемы выявил Джереми Фелт (владелец Happy Prime): хранимый XSS, затрагивающий темы с поддержкой произвольных хэдеров, и уязвимость в set_modifiable_text() (часть HTML API), позволяющую выйти за пределы комментария с помощью последовательностей символов, вызывающих преждевременное закрытие тега. Бен Биднер сообщил об уязвимости в XML-RPC, позволявшей публиковать записи customize_changeset в обход проверки прав доступа edit_css.
Оставшиеся исправления устраняют уязвимость, позволяющую администраторам сайта активировать сетевые плагины, установленные как network-only, о которой сообщил Джесси Макнил; утечку заголовка приватного родительского поста, о которой сообщил HDWSec; раскрытие черновика и слага записи, ожидающей публикации, о котором сообщил исследователь безопасности hermanhms; и проблему смены родительского элемента комментария, о которой сообщил исследователь безопасности viridis.
Начиная с июля, в списках участников, чьи заслуги отмечены в каждом выпуске обновлений безопасности WordPress, фигурируют компании, занимающиеся ИИ — либо как авторы сообщений об уязвимостях, либо как разработчики моделей, использованных для их обнаружения. Экстренный выпуск версии 7.0.2 устранил критическую уязвимость типа RCE (удаленное выполнение кода); она была выявлена исследователем с помощью модели Sol Ultra от OpenAI. Спустя три недели вышел релиз WordPress 7.0.3, включавший 12 исправлений, при подготовке которых были отмечены компании Anthropic, pwn.ai и Aikido Security. Еще через неделю появилась версия 7.0.4, устранившая уязвимость RCE (через библиотеку Imagick), доступную пользователям с правами уровня «Автор»; об этой проблеме сообщила компания pwn.ai.
Команда Security Team работает над расширением своих возможностей, чтобы справляться с возросшим потоком сообщений об уязвимостях. 1 сентября проект объявил о запуске инициативы Core Security Initiative, систематизирующей подход к обработке резкого роста числа отчетов, сгенерированных с помощью ИИ: так, количество заявок на платформе HackerOne подскочило с привычного для последнего десятилетия уровня в 20–30 обращений в месяц до 773 в августе. В связи с этим команда ужесточила критерии программы Bug Bounty, повысив требования к сообщениям об уязвимостях с низким уровнем опасности.
Ни одна из уязвимостей, устраненных в версии 7.1.1, не идет ни в какое сравнение по степени опасности с уязвимостью типа RCE (удаленное выполнение кода), обнаруженной в июле. Однако в каждом последующем выпуске WordPress, посвященном вопросам безопасности, отмечался вклад компаний, использующих ИИ, или результаты работы, полученные с помощью ИИ; судя по текущим тенденциям, эта практика сохранится и в дальнейшем.
Исправления безопасности переносятся (бэкпортируются) во все поддерживаемые на данный момент ветки, начиная с WordPress 4.7. Выход следующего главного релиза WordPress — версии 7.2 — запланирован на декабрь.
