Software-update: WordPress 4.7.5

Er is een update voor versie 4.7 van WordPress uitgekomen. Met dit programma, dat onder een gpl-licentie beschikbaar wordt gesteld, is het mogelijk om een weblog op te zetten en bij te houden. WordPress is eenvoudig in te stellen en kan binnen vijf minuten draaien als er al een server met php en MySQL beschikbaar is. Er zijn mogelijkheden om de functionaliteit van WordPress, naast bloggen, verder uit te breiden en het uiterlijk met plug-ins en thema's aan te passen.

In versie 4.7 is er onder meer een nieuw standaard thema met de naam Twenty Seventeen, is het makkelijker om menu's aan te maken en is het mogelijk om de website en het admin panel in verschillende talen per gebruiker te hebben. In versie 4.7.5 zijn verder nog de volgende verbeteringen aangebracht.

WordPress 4.7.5 Security and Maintenance Release
This is a security release for all previous versions and we strongly encourage you to update your sites immediately. WordPress versions 4.7.4 and earlier are affected by six security issues:

• Insufficient redirect validation in the HTTP class.
• Improper handling of post meta data values in the XML-RPC API.
• Lack of capability checks for post meta data in the XML-RPC API.
• A Cross Site Request Forgery (CRSF) vulnerability was discovered in the filesystem credentials dialog.
• A cross-site scripting (XSS) vulnerability was discovered when attempting to upload very large files. Reported by Ronni Skansing.
• A cross-site scripting (XSS) vulnerability was discovered related to the Customizer.

In addition to the security issues above, WordPress 4.7.5 contains 3 maintenance fixes to the 4.7 release series. For more information, see the release notes or consult the list of changes.

Helaas!
De video die je probeert te bekijken is niet langer beschikbaar op Tweakers.net.

Versienummer	4.7.5
Releasestatus	Final
Besturingssystemen	Scripttaal
Website	WordPress
Download	http://wordpress.org/wordpress-4.7.5.zip
Bestandsgrootte	8,35MB
Licentietype	GPL

Reacties (6)

[Erulezz]

Blijkt maar weer; als je de XML-RPC API niet gebruikt kun je die het beste uitschakelen om jezelf te beschermen tegen eventuele volgende lekken.

Zie reactie onder mij voor Apache, dit kun je gebruiken voor Nginx:


location = /xmlrpc.php {
deny all;
access_log off;
log_not_found off;
}

location = /wp-admin/press-this.php {
deny all;
access_log off;
log_not_found off;
}

[Reactie gewijzigd door Erulezz op 25 juli 2024 15:17]

[Settler11]

Ik had het nooit in de back-end gezien hoe je dat 'ff' kan uitzetten. Blijkt ook weer dat dat daar niet zit. Je kan het uitzetten door de volgende code in je .htaccess te plaatsen:


_{# Block WordPress xmlrpc.php requests
<Files xmlrpc.php>
order deny,allow
deny from all
allow from 123.123.123.123
</Files>}


123.123.123.123 moet je dan vervangen met eigen IP natuurlijk, indien nodig.

[Reactie gewijzigd door Settler11 op 25 juli 2024 15:17]

[P1nGu1n]

Of in pure PHP

quote: PHP

add_filter('xmlrpc_enabled', '__return_false');

[Reactie gewijzigd door P1nGu1n op 25 juli 2024 15:17]

[sourcecode]

Die XML-RPC API, ga je die gebruiken bij normaal wordpress gebruik ?
is voor mij even nieuw namelijk.

[Erulezz]

Als je de mobiele app gebruikt dan wel, anders bijna niet volgens mij. De Jetpack plugin gebruikt hem ook.

[b2vjfvj75gjx7]

Je gebruikt hem om via bv. een Android App (van WordPress) te communiceren met de backend van je site.

Zo kan je realtime foto's uploaden van een event, en voorzien van commentaar.

Direct van je telefoon, naar je CMS... kan handig zijn - maar 99% van de gebruikers doet dat niet.

Om die reden blokkeer ik de (REST) API en XML-RPC standaard bij elke uitrol van een WP-site.

Als men dan merkt dat het niet werkt, en er is gegronde reden dat het wel moet werken, dan zet ik het alsnog aan.

Liever opt-in dan opt-out met deze verborgen opties.