WordPress 7.1.3 est disponible depuis le 6 octobre. Cette version de maintenance et de sécurité corrige 7 vulnérabilités et 4 bugs. La mise à jour est recommandée immédiatement.
Si les mises à jour automatiques en arrière-plan sont actives sur votre site (c’est le réglage par défaut pour les versions mineures), elle a normalement déjà été installée. Sinon, rendez-vous dans Tableau de bord > Mises à jour.
Les 7 failles corrigées
- une faille XSS stockée sur la page d’administration des commentaires, exploitable via des commentaires en attente ;
- un risque de déni de service (DoS) dans
WP_Http::make_absolute_url(); - une injection SQL de second ordre lors de l’export des contenus (WXR) ;
- une faille permettant à un utilisateur au rôle Auteur de mettre des articles en avant ;
- la divulgation, sans authentification, de commentaires liés à des articles privés ou non publiés ;
- une faille XSS via les contenus embarqués Imgur ;
- des paramètres falsifiables transmis à un hook de changement de statut, avec un risque de collision de noms d’action.
Comme d’habitude, les correctifs sont rétroportés sur toutes les branches éligibles, jusqu’à WordPress 4.7. Mais seule la dernière version est activement supportée.
Des IA dans les crédits
Détail révélateur : trois des sept failles ont été signalées par Anthropic, et une autre par Trail of Bits en collaboration avec OpenAI. Les autres viennent de Patchstack, de chercheurs indépendants et de l’équipe sécurité de WordPress.
Selon le média spécialisé The Repository, 7.1.3 est la troisième version de sécurité en moins de trois semaines, après 7.1.1 et 7.1.2.
Notre avis
Aucune de ces failles n’est du niveau de l’exécution de code à distance corrigée dans 7.1.2, mais une injection SQL et des XSS ne se laissent pas traîner. Vérifiez la version de vos sites, surtout ceux sur lesquels vous avez désactivé les mises à jour automatiques.
Le rythme, lui, est le vrai sujet. Les outils d’IA ont fait chuter le coût de la recherche de vulnérabilités : les signalements explosent, et le Cœur de WordPress publie des correctifs à une cadence inédite. Attendez-vous à voir passer d’autres versions mineures de ce type d’ici la fin de l’année. C’est une bonne raison de laisser les mises à jour mineures automatiques activées.