Sommaire
WordPress vient de publier la version 7.1.4, une mise à jour de sécurité qui corrige 22 failles — et la plus inquiétante se niche dans le processus de mise à jour lui-même : une condition de concurrence (race condition) pendant la mise à jour du cœur qui pourrait permettre l’exécution de code à distance pendant la fenêtre de mise à jour. Les autres correctifs concernent surtout des failles XSS stockées (blocs, API Interactivity, Customizer), une exposition de modifications non publiées du Customizer aux visiteurs non connectés, et un déni de service stocké.
Bonne nouvelle : les correctifs ont aussi été déployés sur les branches anciennes, jusqu’à la 4.7, et les sites avec mises à jour automatiques en arrière-plan reçoivent la 7.1.4 tout seuls. Vérifiez quand même votre version dans Tableau de bord > Mises à jour — et n’attendez pas la 7.2, prévue le 8 décembre. Aucune exploitation active n’a été signalée pour ces failles, mais la mise à jour du cœur lui-même, c’est le genre de faille qu’on ne laisse pas traîner.
Lento dit : Une faille dans la mise à jour elle-même, c’est comme une serrure cassée sur la porte du serrurier. Mettez à jour, vérifiez que c’est bien passé, et dormez tranquille.
