WordPress publica 7.1.4 de urgencia: corrige 22 fallos y una vía de ejecución de código sin cuenta durante las actualizaciones

WordPress publicó este miércoles 28 de octubre la versión 7.1.4, una actualización de seguridad que corrige 22 vulnerabilidades repartidas en 17 avisos, según el análisis técnico de Patchstack. El propio proyecto lo plantea sin matices: al ser una versión de seguridad, recomienda actualizar los sitios de inmediato, y los sitios con actualizaciones automáticas ya deberían haberla recibido.

El fallo que manda es una condición de carrera en el proceso de actualización del núcleo, reportada por Umut Bayram. Al instalar o actualizar, WordPress descomprime el paquete en el directorio wp-content/upgrade/, con un nombre predecible, y la rutina de limpieza previa eliminaba incluso el archivo que impide listar su contenido. Durante los pocos segundos que dura la operación, una instalación completa quedaba en una ruta adivinable, con su propio instalador capaz de arrancar contra una base de datos controlada por un atacante: una vía hacia la ejecución remota de código sin necesidad de cuenta.

El matiz importa tanto como el titular. Patchstack califica la explotación de difícil y poco práctica: hay que acertar la ruta exacta en el instante justo, mientras una actualización está en curso, y el directorio tiene que ser accesible desde la web. La corrección añade 16 caracteres aleatorios al nombre temporal y restaura la protección del directorio. Casi todos los demás fallos exigen además una cuenta, normalmente de colaborador o superior.

El resto del lote se concentra en la API de Interactividad, con siete de los 17 avisos: atributos que pasaban el filtrado y luego provocaban acciones inseguras en el navegador, incluidos XSS almacenados y un problema de denegación de servicio que cuelga la pestaña del visitante. Se suman XSS en bloques y en el Personalizador, cambios del Personalizador sin publicar que podían descubrir visitantes sin sesión, y un permiso que dejaba leer y editar notas de entradas ajenas a ciertos roles.

El alcance es el de todo el núcleo: los parches se retroportaron el mismo día a todas las ramas con soporte de seguridad, hasta la 4.7.39; las versiones 7.0.8 y 6.9.11 corrigen las 22, y las ramas 4.6 y anteriores no reciben nada. Es la séptima versión de seguridad del núcleo desde mediados de julio, con más de 50 vulnerabilidades corregidas en ese periodo, según The Repository. Además de actualizar, Patchstack recomienda bloquear en el servidor el acceso a wp-content/upgrade/ y revisar quién conserva cuentas de colaborador en adelante.