Actualización: Ya publicaron el anuncio oficial, que por cierto me causa un poco de gracia porque mencionan mi nombre y el nick que uso para reportar vulnerabilidades más leves. 😀
Finalmente ya está disponible la versión 2.2.3 de WordPress, que corrige múltiples problemas de seguridad, entre los cuales, uno permite obtener los datos de cualquier usuario de un blog afectado.
Los archivos que cambian con respecto a la anterior versión son:
- wp-includes/default-filters.php
- wp-includes/plugin.php
- wp-includes/query.php
- wp-includes/formatting.php
- wp-includes/feed-rss2-comments.php
- wp-includes/rewrite.php
- wp-includes/version.php
- wp-includes/pluggable.php
- wp-includes/widgets.php
- wp-includes/rss.php
- wp-includes/vars.php
- xmlrpc.php
- wp-mail.php
- wp-admin/admin-ajax.php
- wp-admin/admin-functions.php
- wp-admin/rtl.css
- wp-admin/options.php
- wp-admin/install-rtl.css
- wp-admin/widgets-rtl.css
Cualquiera que esté usando WordPress 2.2.2 o versiones anteriores con permalinks habilitadas (a.k.a URL's amigables), tiene que actualizar si o si a la versión que acaban de liberar o a la beta 2 de WordPress 2.3, si no lo hace, por lo menos debe bloquear el acceso a xmlrpc.php.
Por otro lado, también me comentan que liberarán una nueva versión de WordPress MU en los próximos días.
