WordPress 3.9.2 in italiano

Molti avranno ricevuto mail stanotte che indicavano che il loro sito era stato aggiornato alla versione 3.9.2, almeno tutti quelli che hanno gli aggiornamenti automatici la avranno ricevuta, da qualche ora sul sito locale di it.wordpress.org c’è la versione italiana del pacchetto e ora qui trovate anche i pacchetti da scaricare dal nostro sito. Chi ha gli aggiornamenti automatici stanotte riceverà un avviso di aggiornamento perchè anche se non vi sono modifiche alle stringhe il rilascio del pacchetto italiano al momento fa si che avvenga di nuovo un aggiornamento. Questo meccanismo cambierà con le prossime versioni di WP.

Si tratta di un aggiornamento di sicurezza quindi anche chi non ha aggiornamenti automatici attivi è fortemente invitato ad aggiornare i propri sito dopo i consueti backup di sicurezza sia dello spazio FTP che del database. Domande o richieste o altro che non siano semplici commenti alla versione, devono avvenire SOLO sul nostro forum di supporto, richieste di aiuto ecc fatte nei commenti verranno ignorate e/o cancellate.

Dal post di rilascio ufficiale sul blog di wordpress.org:

WordPress 3.9.2 è disponibile come release di sicurezza per tutte le versioni precedenti di WordPress. Raccomandiamo fortemente di aggiornare i vostri siti immediatamente.

Questa versione corregge un problema di DOS (denial of service) nell’elaborazione in PHP di XML, segnalato da Nir Goldshlager del Salesforce.com Product Security Team. Il problema è stato corretto da Michael Adams e Andrew Nacin del WordPress security team e da David Rothstein del Drupal security team. Questa è la prima volta che i nostri due team hanno coordinato assieme il rilascio di una release di sicurezza.

WordPress 3.9.2 contiene inoltre altre modifiche alla sicurezza:

• Risolto una improbabile, ma possibile,  esecuzione di codice durante l’elaborazione dei widget (di base WordPress non ne è affetto riguarda solo widget aggiuntivi), scoperta da Alex Concha del WordPress security team.
• Prevenzione della rivelazione di informazioni tramite un attacco tramite entità XML nella libreria esterna GetID3, segnalato da Ivan Novikov di ONSec.
• Aggiunte protezioni contro “brute force attack” verso i token CSRF, segnalato da David Tomaschik del Google Security Team.
• Alcune protezioni aggiuntive per prevenire cross-site scripting attivabili solo dagli amministratori.

Apprezziamo ancora una volta la segnalazione responsabile di questi problemi direttamente al nostro security team. Per maggiori informazioni si vedano le note di rilascio o si consulti la lista delle modifiche (entrambe in inglese).