Wczoraj w nocy została wydana nowa mała wersja WordPressa, którą prawdopodobnie już macie na swoich serwisach, bo pewnie zaktualizowało się samo.
Szczęśliwie, udało się Wacławowi też odblokować polską wersję i jednocześnie z 3.8.1 została wydana 3.8.1 PL.
Bardzo polecam każdemu, aktualizacje jego WordPressa. Zestaw z małym numerkiem to zazwyczaj coś związanego z bezpieczeństwem, co oznacza wręcz konieczność aktualizacji. Pamiętajcie, że teraz dziury są bardzo publiczne i pewnie liczba ataków się zwiększy. Więc do dzieła. Aktualizujcie!
Jeżeli do tej pory nadal używasz WordPressa w wersji 3.4.1 to natychmiast po przeczytaniu tego wpisu udaj się do swojego panelu administratora i dokonaj aktualizacji do wersji 3.4.2.
Dlaczego? Ano dlatego samego powodu co zawsze w przypadku małych wersji! Zmiana trzeciej cyferki oznacza, że jest to łatka utrzymaniowa, a historia pokazuje, że pojawia się tylko dla znaczących błędów oraz dla błędów bezpieczeństwa lub potencjalnych podatności.
Tak jest również w przypadku tej wersji w której załatano podatność związaną z eskalacją uprawnień oraz kilkunastu błędów.
Zewnętrzne biblioteki, z których korzysta WordPress zostały zaktualizowane odpowiednio do wersji:
Aktualizacja została dokonana w trunku, czyli dotyczy każdego następnego, dużego wydania.
Minęło raptem 13 dni, a już mamy poprawkę. Od dziś można i trzeba pobrać wersję 3.4.1
Większość zmian do poprawki błędów i bezpieczeństwa, a jedyną dodana funkcjonalność związana jest z ładowaniem plików z urządzeń mobilnych.
Pełna lista poparawek do obejrzenia w tracku.
Jak to się wyrazili autorzy: Zielone wydanie okazało się zbyt zielone.
Każdy kto zdążył już do tej pory zaktualizować WordPressa do wersji 3.3 powinien jak najszybciej wykonać aktualizację do wersji 3.3.1, ze względu na wykrytą i załataną dziurę w systemie komentarzy, która była wrażliwa na atak typu XSS.
Przy produkcyjnych wersjach dużego serwisu raczej nie potrzebujemy ciągłego sprawdzania nowych wersji wordpress’a, jego wtyczek czy motywów. Jest to zbędna funkcjonalność, a przy dużym ruchu dodatkowo niepotrzebna.
Często też używane w takich warunkach wtyczki są po prostu zmodyfikowane w celu polepszenia wydajności, więc wcale, ale to wcale nie chcemy aktualizować takich kawałków oprogramowania.
Poniższy kod pozwala na wyłącznie trzech akcji oraz ich usunięciu z wordpressowego crontaba.
Ja sobie jeszcze chwilę poczekam, bo próba aktualizacji skończyła się ekranem: który w kółko kieruje albo do ekranu aktualizacji, albo na stronę główną (publiczną), bez widocznych efektów.
Wgryzać się chwilowo nie mam czasu, ale nowy wordpress kusi nowymi rzeczami, które pozwoliłby mi na kilku serwisach zrezygnować z kilku haków, od choćby na pisanie krótkich notek na sidebarze, czy tworzenia galerii.
Pierwszy raz:
Upgrade WordPress
Downloading update from http://wordpress.org/wordpress-2.7.1.zip
Unpacking the core update
Verifying the unpacked files
Installing the latest version
Upgrading database
WordPress upgraded successfully
no i się udało.
Miałem o w ogóle o kolejnej wersji nie piać. Bo po co? Jak zwykle można liczyć na analizę od WPNinja, potem na kilku innych. Więc? Po co dublować?
Ciekawe. Komunikat oficjalny WordPress 2.6.3 głosi że zostały zmienione dwa pliki. Trac projektu twierdzi że różnią się trzy plik: różnica między 2.6.2 a 2.6.3.
Jeszcze ciekawiej jest jak się trafi na wpis WordPress 2.6.3 – błąd wykryty, załatany w którym autor stwierdza:
Błąd ten nie jest krytyczny.
co przy informacji z serwisu secunia.com, gdzie nadano status krytyczny mówi co innego.
Ergo: łatać.
Oparte na WordPress & Theme by Anders Norén
