O WordPress acaba de liberar uma atualização de segurança que merece atenção imediata de quem administra sites na plataforma. A versão 7.1.3 chega para corrigir sete vulnerabilidades e quatro bugs, sendo um deles classificado como crítico. Entre os problemas resolvidos está uma falha de XSS armazenado, um caso de negação de serviço (DoS) e outras cinco brechas cuja gravidade não foi detalhada publicamente. Diante disso, a recomendação é direta: atualizar o site o quanto antes.
As sete vulnerabilidades do WordPress 7.1.3
A equipe do WordPress listou, sem muitos rodeios, os problemas corrigidos nesta leva de ajustes:
- XSS armazenado
- Falha de negação de serviço (DoS)
- Injeção SQL de segunda ordem
- Brecha que permitia usuários com papel de Autor fixarem posts (sticky posts) indevidamente
- Exposição não autenticada de comentários
- Vulnerabilidade de XSS em embeds do Imgur
- Parâmetros forjáveis que podem gerar colisão de nomes de ação
Vale destacar que o anúncio oficial não traz classificações de severidade, pontuações CVSS, descrições técnicas detalhadas nem qualquer indicação de que essas falhas já estejam sendo exploradas por aí. Mesmo assim, a orientação continua sendo a mesma: atualizar sem demora.
Além disso, as correções de segurança também estão sendo retroportadas para versões mais antigas do WordPress — um esforço que, por enquanto, cobre até a versão 4.7, ainda elegível para receber esse tipo de patch. No entanto, esse trabalho de retroporte segue em andamento, e os pacotes devem chegar às versões antigas conforme forem ficando prontos.
Os quatro bugs corrigidos
Fora as vulnerabilidades propriamente ditas, a atualização também resolve quatro bugs. Três deles são relativamente inofensivos, embora atrapalhem a experiência do usuário, e um é considerado crítico.
Dois desses ajustes dizem respeito a endpoints de oEmbed que estavam retornando mensagens de erro 404 — um ligado a uma plataforma de divulgação musical e outro a um site de cartões virtuais de humor. Outro conserta uma falha que fazia o ícone do site, na barra de ferramentas do painel administrativo, aparecer em um tamanho absurdamente grande. Por fim, o quarto bug é o que mais chama atenção, já que pode travar completamente o envio de imagens.
Falha crítica trava upload de imagens
Esse quarto problema é o item crítico da atualização: em hospedagens sem uma biblioteca DOM opcional instalada, o envio de imagens simplesmente falhava com um erro fatal, deixando administradores sem conseguir subir mídia alguma para o site. Segundo o próprio ticket aberto para o caso no WordPress, o processo de upload parava por completo, impedindo o envio da imagem — algo bem menos catastrófico do que derrubar uma página inteira ou o site todo, mas igualmente frustrante.
O componente que faltava era a extensão DOM do PHP (ext-dom), responsável por fornecer as classes DOMDocument e DOMXPath que o WordPress tentava usar. O problema surgiu porque, apesar de recomendar fortemente essa extensão, o WordPress nunca chegou a exigi-la como obrigatória.
Foi a versão 7.0 que introduziu um trecho de código que usava o DOMDocument sem antes verificar se a extensão realmente existia no servidor. Ou seja, em hospedagens que não tinham esse recurso instalado, qualquer tentativa de upload de imagem podia disparar um erro fatal e travar o processo.
O código ficou no ar por 134 dias até o primeiro relato do problema, o que sugere que quase todas as hospedagens já contam com a extensão DOM instalada por padrão.
Apesar de o ticket classificar essa falha como crítica, um dos committers do núcleo do WordPress ponderou que o caso provavelmente é raro. Afinal, o tempo até o primeiro relato — mais de quatro meses — indica que a maioria esmagadora dos servidores já vinha com a extensão DOM configurada corretamente, tornando essa brecha crítica menos abrangente do que o nome sugere.
Em resumo, mesmo que a lista de correções pareça extensa, o recado final é simples: quem usa WordPress deve aplicar a atualização 7.1.3 assim que possível, garantindo que o site fique protegido contra as vulnerabilidades e livre do risco de travar uploads por conta da falha crítica identificada.
Com informações de searchenginejournal.com.
