Das beliebte Blogsystem WordPress, erhielt das Update 6.0.3. Dieses steht allen WordPress Installationen ab 3.7. bereit und schließt ca. 17 Sicherheitslücken.
WordPress 6.0.3 Release Notes
- Stored XSS über die wp-mail.php (Beitrag per E-Mail schreiben) – Toshitsugu Yoneyama von Mitsui Bussan Secure Directions, Inc. via JPCERT
- Open Redirect in `wp_nonce_ays` – devrayn
- E-Mail-Adresse des Absenders wird in der wp-mail.php exposed – Toshitsugu Yoneyama von Mitsui Bussan Secure Directions, Inc. via JPCERT
- Mediathek, Reflected XSS via SQLi – Ben Bidner vom WordPress-Security-Team und Marc Montpas von Automattic haben das Problem unabhängig voneinander entdeckt
- CSRF in wp-trackback.php – Simon Scannell
- Stored XSS über den Customizer – Alex Concha vom WordPress-Security-Team
- Rückgängig machen geteilter User-Instanzen, die mit 50790 eingeführt wurden – Alex Concha und Ben Bidner vom WordPress-Security-Team
- Stored XSS im WordPress-Core über die Kommentar-Bearbeitung – Third-Party-Security-Audit und Alex Concha vom WordPress-Security-Team
- Exposition von Daten über die REST-Terms/-Tags-Endpunkte – Than Taintor
- Inhalte von Multipart-E-Mails werden geleaked – Thomas Kräftner
- SQL-Injection wegen ungenügender Sanitization in `WP_Date_Query` – Michael Mazzolini
- RSS-Widget: Stored XSS-Problem – Third-Party-Security-Audit
- Stored XSS im Suche-Block – Alex Concha vom WP-Security-Team
- Beitragsbild-Block: XSS-Problem – Third-Party-Security-Audit
- RSS-Block: Stored XSS-Problem – Third-Party-Security-Audit
- Fix Widget-Block-XSS – Third-Party-Security-Audit
Quelle: WordPress 6.0.3 Sicherheits-Release | WordPress.org Deutsch