Для плагина JSON REST API на выходных вышло обновление безопасности. Версия 1.1.1 включает в себя исправление уязвимости, которая позволяла использовать встроенную поддержку JSONP для передачи любых Flash SWF-файлов. Эта методика в прошлом использовалась для злоупотребления конечными точками JSON, что позволяло злоумышленникам обходить для Flash-файлов браузерную политику доступа к ресурсам других доменов.

Ядро WordPress уже обладает защитой CSRF, однако WP REST API зачастую используется в комбинации с другим программным обеспечением, которое может не иметь подобных мер защиты. Вы можете использовать фильтр для того, чтобы отключить поддержку JSONP:

add_filter( 'json_jsonp_enabled', '__return_false' );

Руководитель проекта WP API Райан Маккью поблагодарил Иэна Данна в анонсе релиза за оперативное выявление уязвимости.

Проект WP REST API теперь доступен на HackerOne – со всеми бонусами для хакеров, которые смогут найти разные проблемы безопасности, выполнить SQL-инъекции, внедрить эксплойты, выполняющие удаленный код и т.д. Плагин WP-API является высокоприоритетным, как и плагин OAuth 1.0a, который обеспечивает аутентификацию для API.

Уязвимость, исправленная в версии 1.1.1 плагина, была помечена как незначительная проблема безопасности, согласно Маккью; до сих пор ни один сайт не сообщал о каких-либо эксплойтах. Он рекомендует любому, кто пользуется версией 1.1 плагина, оперативно обновиться.

Источник: wptavern.com