Blog AlmacenPlantillasWeb
Diseño, accesibilidad, usabilidad, posicionamiento y optimización web

En Abril escribimos un post sobre la liberación de la beta de Wordpress 3.0 (Liberado WordPress 3.0 Beta 1) comentando lo que prometía. En este momento ya está liberada la versión final de WP 3.0 y, por el número de descargas (en la imagen las realizadas hasta las 14:35 del 22 de Junio) es todo un éxito.

Novedades de la version 3.0 de Wordpress:

• Fusión de Wordpress MU con el Wordpress original, de forma que con una sola instalación de Wordpress podemos tener muchos blogs abiertos sin necesidad de instalar instancias adicionales del sistema. Cuidado, hay que descargar el fichero wp-config.php que está en el direcorio raíz y añadir la siguiente línea
  define (‘WP_ALLOW_MULTISITE’, true);
• Adiós al usuario “admin”: la nueva versión permite escoger nuestro nombre de usuario y nuestra contraseña en el mismo proceso de instalación sin necesidad de editar tablas de base de datos como hacíamos hasta el momento
• Plugins canónicos: son plugins desarrollados por una comunidad. O sea, que ahora los plugins tendrán una especie de garantía, y estarán a disposición de la comunidad, respaldada por foros, listas de correo, etc.
• Nuevas funcionalidades de la interfaz de administración más orientada a la inclusión de nuevos contenidos:
  • Nuevas funcionalidades para actualizar cualquiera de los elementos (plugins, temas, etc.).
  • Ayudas contextuales.
  • Nuevo tema por defecto: Twenty Ten, personalizable desde muchos aspectos y diseñado especialmente para aprovechar todas las funcionalidades de Wordpress 3.0.
  • Posibilidades de modificación del fondo de nuestro blog y de la cabecera.
  • Posibilidad de configurar menús jerárquicos fácilmente desde la administración, en los que podemos integrar categorías, etiquetas, archivo o cualquier modo de organizar nuestros artículos, además de los enlaces y otros elementos que nos interesen.
  • Funcionalidad para crear tipos de posts personalizados.
  • Nueva funcionalidad para crear enlaces cortos de nuestros artículos (sin recurrir a plugins).

Vía ayudawordpress hemos conocido la existencia de WPDocs. Se trata de una completa guía de referencia del API de Wordpress que incluye toda la documentación de funciones y hooks.

Entre sus funcionalidades destaca un buscador predictivo de términos en funciones, clases, etc. Para cada función del API nos muestra ejemplos de uso y un enlace a la documentación completa en el Codex.

wpdocs, guía de referencia del API de wordpress

Con fecha de 14 de febrero, se ha publicado en Hispasec la siguiente vulnerabilidad de la papelera de Wordpress en las versiones anteriores a la 2.9.2.:

Existe un error en las versiones de Wordpress 2.9.x que permite a un usuario autenticado con los mínimos privilegios descubrir los post que se encuentran en la papelera.

Wordpress es un CMS para la gestión de blogs. En su versión 2.9 incorporó una utilidad para no eliminar definitivamente los post.

Consistía en un sistema de papelera que permitía recuperar las entradas borradas por accidente.

El problema encontrado reside en que cuando se envía un post a la papelera no se actualizan correctamente los permisos. Esto permitiría a un usuario autenticado con los mínimos privilegios obtener información de la papelera. En teoría, solo usuarios con los privilegios suficientes podrían tener acceso a estos posts borrados, pero en la realidad, debido al fallo, cualquier “Usuario autenticado” (que incluye a los “Subscribers” que son el mínimo privilegio posible en Wordpress) pueden ver estas entradas.

Un atacante tendría que aplicar fuerza bruta para acceder a las URL correspondientes en la papelera para descubrir post eliminados. Una vez encontrados, podría leerlos sin que exista ninguna restricción por permisos. El autor ha publicado una prueba de concepto

Este error ha sido solucionado junto con otros bugs en la versión 2.9.2

Más información:

WordPress >= 2.9 Failure to Restrict URL Access http://tmacuk.co.uk/?p=180

Oficial advisory: http://wordpress.org/development/2010/02/wordpress-2-9-2/

(más…)