O WordPress 5.0.1 já está disponível. Essa é uma atualização de segurança para todas as versões a partir do WordPress 3.7. Encorajamos que você atualize seus sites imediatamente.
Recomendamos que autores de plugins leiam as notas de desenvolvedor do 5.0.1 para informações sobre retrocompatibilidade.
As versões 5.0 e anteriores do WordPress foram afetadas pelos erros abaixo, que foram corrigidos na versão 5.0.1. Versões atualizadas do WordPress 4.9 e anteriores também estão disponíveis para os usuários que ainda não atualizaram para a versão 5.0.
- Karim El Ouerghemmi descobriu que autores poderiam alterar os metadados para excluir arquivos sem autorização.
- Simon Scannell da RIPS Technologies descobriu que autores poderiam criar posts de tipos diferentes sem autorização transmitindo dados de uma certa forma.
- Sam Thomas descobriu que colaboradores poderiam criar metadados de uma forma que resultaria em injeção de objeto pelo PHP.
- Tim Coen descobriu que colaboradores poderiam editar novos comentários de usuários com mais privilégios, potencialmente levando à uma vulnerabilidade por execução de scripts de outros sites (XSS, do inglês Cross-Site Scripting).
- Tim Coen também descobriu que entradas de dados para URL feitas de uma determinada forma poderiam levar a vulnerabilidade por XSS em algumas circunstâncias. O WordPress não foi afetado, mas em algumas situações os plugins podem ser.
- A equipe Yoast descobriu que a tela de ativação de usuário poderia ser indexada por mecanismos de pesquisa em algumas configurações incomuns, levando à exposição de endereços de e-mail e, em alguns casos raros, senhas geradas automaticamente.
- Tim Coen e Slavco descobriram que autores em sites usando Apache poderiam enviar arquivos criados de uma determinada forma para ignorar a verificação por MIME, levando à uma vulnerabilidade por XSS.
Agradecemos a todos por terem relatado as vulnerabilidades de forma privada, nos dando tempo para corrigi-las antes que os sites WordPress fossem atacados.
Baixe o WordPress 5.0.1 ou visite o Painel → Atualizações e simplesmente clique em Atualizar agora. Sites com suporte a atualizações automáticas em segundo plano já começaram a se atualizar.
Além dos pesquisadores de segurança que mencionamos acima, agradecemos a todos que contribuíram para o WordPress 5.0.1:
Alex Shiels, Alex Concha, Anton Timmermans, Andrew Ozz, Aaron Campbell, Andrea Middleton, Ben Bidner, Barry Abrahamson, Chris Christoff, David Newman, Demitrious Kelly, Dion Hulse, Hannah Notess, Gary Pendergast, Herre Groen, Ian Dunn, Jeremy Felt, Joe McGill, John James Jacoby, Jonathan Desrosiers, Josepha Haden, Joost de Valk, Mo Jangda, Nick Daugherty, Peter Wilson, Pascal Birchler, Sergey Biryukov e Valentyn Pylypchuk.
Fonte: Wordpress Brasil