В четверг была представлена очередная версия системы управления контентом WordPress, которая закрывает две существовавших в ней уязвимости межсайтового скриптинга (XSS), позволяющие злоумышленникам получать доступ к веб-сайтам. Одна из них располагается в пакете иконок Genericons, используемом в популярных темах и аддонах, включая тему по умолчанию TwentyFifteen. Исследователи из компании Sucuri ранее сообщили, что уже обнаружили использование данных уязвимостей.
Чтобы задействовать первую уязвимость, нужно заставить пользователей пройти по специально созданным ссылкам, после чего открывается доступ к куки-файлам аутентификации. Если жертвой является администратор сайта, можно получить доступ ко всему сайту.
Уязвимость можно сделать менее опасной, удалив файл example.html или обновившись до версии WordPress 4.2.2. После её установки происходит сканирование директории сайта на предмет обнаружения и устранения уязвимого файла HTML.
Новая версия закрывает и другую уязвимость XSS, которая позволяет анонимным пользователям получать доступ к сайтам, а также усиливает защиту XSS в визуальном редакторе.