2019年9月5日にリリースされたセキュリティ＆メンテナンスパッチWordPress5.2.3について書きます。 wp-config-sample.phpが更新されていましたが、動作に影響がある変更はなく実質的には気にする必要はありませんでした。5.2.1のように白画面になることもありませんでした。
しかし、” Page Visit Counter ”がエラー（具体的に何のエラーなのか情報がない）で止まっていました。この停止問題はプラグインを設定ページで有効化することで解決しています。
WordPress 5.2.3 で対処された脆弱性について確認します。 WordPressのサイトの情報では1件ごとに明確にされるべき影響度とか影響範囲の情報がなく、問題検出者への感謝？の公開の場でしかありません。何とかしてほしいが、他のサイトで確認してみましょう。 9/12時点でJVNのほうにはまだ登録されていないように見えます。NVDの情報では、つぎの7件がWordPress5.2.3で対処されたことが分かります。
| CVE-2019-16223 | WordPress before 5.2.3 allows XSS in post previews by authenticated users. |
| CVE-2019-16222 | WordPress before 5.2.3 has an issue with URL sanitization in wp_kses_bad_protocol_once in wp-includes/kses.php that can lead to cross-site scripting (XSS) attacks. |
| CVE-2019-16221 | WordPress before 5.2.3 allows reflected XSS in the dashboard. |
| CVE-2019-16220 | In WordPress before 5.2.3, validation and sanitization of a URL in wp_validate_redirect in wp-includes/pluggable.php could lead to an open redirect. |
| CVE-2019-16219 | WordPress before 5.2.3 allows XSS in shortcode previews. |
| CVE-2019-16218 | WordPress before 5.2.3 allows XSS in stored comments. |
| CVE-2019-16217 | WordPress before 5.2.3 allows XSS in media uploads because wp_ajax_upload_attachment is mishandled. |
9/11にDBに登録されたばかりで影響範囲など詳しい情報はまだありませんでした。
想像ですが、9/12時点で過去バージョンに対してセキュリティ修正のみ（WordPress5.1.2?）を提供しようと準備しているように見えます。5.2.3のリリースには「In addition to the above changes, we are also updating jQuery on older versions of WordPress. This change was added in 5.2.1 and is now being brought to older versions. 」の記述があります。しかし明示的には5.1.2について特にアナウンスしているようには見えないので、本当にリリースされるかはわかりません。どうしても欲しければチームに入って推進すればよいかもしれません。
「WordPress 5.2.3 セキュリティパッチの適用」への1件のフィードバック