In aggiunta alla correzione per la sicurezza, la versione 2.5.1 contiene parecchie correzioni al codice. Se volete chiudere solo la falla di sicurezza (per magari aggiornare il tutto fra qualche giorno) occorre scaricare i file corretti di wp-includes/pluggable.php, wp-admin/includes/media.php e wp-admin/media.php e sostituire questi file con quelli della vosrta installazione di WP.

Scaricando la versione 2.5.1 completa si otterranno invece oltre 70 ulteriori correzioni. La versione 2.5.1 è focalizzata sulla correzione di molti fastidiosi bug e sul miglioramento delle prestazioni. Ecco alcune voci significative:

• Prestazioni migliorate per le pagine Bacheca, Scrittura articoli e Modifica commenti.
• Migliori prestazioni per quanti hanno molte categorie
• Correzioni al Media Uploader
• Aggiornamento a TinyMCE 3.0.7
• Correzione ai Widget di amministrazione
• Varie migliorie sul fronte dell’usabilità
• Correzioni al layout di amministrazione per IE

Il lato secreto dei blog

Dalla versione 2.5 il file wp-config.php permette di definire una nuova costante denominata SECRET_KEY il cui scopo è essenzialmente quello di introdurre una certa casualità nelle funzioni criptografiche utilizzate per i cookie in WordPress. Potete visitare questo link che abbiamo attivato per fornire una chiave segreta univoca da utilizzare nel vostro file di configurazione. (È una chiave unica e casuale ad ogni caricamento della pagina.) Aggiungere questa linea nel vostro file di configurazione aiuta ad aumentare la sicurezza del vostro blog.

Molte e grazie a Steven Murdoch per aver segnalato responsabilmente il problema di sicurezza e grazie ad Alex Concha per la segnalazione di un problema di XSS.

Segnala presso:

Come si legge nei comunicati del sito ufficiale di wordpress, sono state segnalate tre falle a carico dell’applicazione, due “critiche” ma che per loro natura possono essere difficilmente causa di problemi (una di esse è tra l’altro in odore di bufala), la terza è invece considerata di livello “medio” e in alcuni casi particolari potrebbe creare qualche grattacapo agli utilizzatori di questo blog engine.

Con il rilascio di WP 2.5 l’impostazione di questa chiave non è stato dato come “indispensabile” e pareva solo una ulteriore sicurezza, secondo il report di securitfocus invece parrebbe che senza quella si potrebbe forzare la password di admin. Non ho avuto modo di approfondire la cosa, causa mancanza di tempo, anche se mi è parso di capire che la forzatura potrebbe richiedere nel peggiore dei casi oltre un centinaio di giorni per una password di 7 caratteri ma anche solo una ventina di ore in casi fortunati. Per password più lunghe i tempi crescono. Inoltre per forzare una password di admin occorre disporre di un cookie di autenticazione per quel blog, quindi occorre essere utenti registrati. Ecco perchè il probabile bug è considerato un problema di media gravità.

Per maggiori informazioni visitare www.wordpress-it.it

Segnala presso: