Bi0[x]iD's WaY oF LiFe

[Artículo en Mecus]

[es]

Sí, habéis leído bien. Después de las vulnerabilidades anunciadas en estos días tenemos una actualización de WordPress lista para descarga.

Para los más rápidos, está disponible la versión 2.8.5-beta1. Para los más pacientes y/o los que tengan un servidor sólido y/o bien configurado, la versión definitiva de WordPress 2.8.5 está anunciada para mañana por la noche.

Esta versión menor de WordPress no deja de ser una actualización de seguridad. Si tu servidor es sólido, probablemente no la instalarías. Pero ahora que es sólo hacer un click, tampoco cuesta tanto 🙂

Ésta es la lista de cambios:

• Eliminación de la evaluación de la función permalink_structure.
• Eliminación de algunas llamadas a create_function() que estaban duplicadas y cargan el sistema.
• Parche para evitar la denegación de servicio (DOS) usando trackbacks.
• Eliminación de la subida de archivos de forma no filtrada. Se puede activar manualmente con define(‘ALLOW_UNFILTERED_UPLOADS’, true); en wp-config.php
• Añadidas algunas secuencias de escape (formateo de cadenas de caracteres) para evitar errores.
• Retirada de dos importadores antiguos. Uno de ellos es el antiguo fetch_rss().
• Otros pequeños bugs.

Ya sabéis. El día 21 por la noche toca actualización.

EDIT: Puedes testear tu sistema utilizando el exploit scanner de Donncha.[/es][en]

Copying from Ryan Boren:

http://wordpress.org/wordpress-2.8.5-beta1.zip

2.8.5 will probably release sometime in the next 24 hours.  Changes since 2.8.4:

http://core.trac.wordpress.org/log/branches/2.8?action=stop_on_copy&mode=stop_on_copy&rev=12075&stop_rev=11811&limit=999

Summary:

* Fix for trackback DOS
* Removal of permalink_structure eval
* Remove some create_function() calls
* Disallow unfiltered uploads by default, even for admins. Enable it
again with define(‘ALLOW_UNFILTERED_UPLOADS’, true); in wp-config.php
* Add extra escapes here and there for some backside coverage
* Retire two old importers
* A few small bug fixes

This is mostly a security hardening release.  There’s nothing exciting
unless you are concerned about the trackback DOS bug. Anyone who wants
to DOS your blog can do it regardless, but the trackback DOS bug makes
it easier for people to be annoying.

EDIT: You can test your system using Donncha’s exploit scanner.[/en]