WordPress 7.0.4: как изображение стало бомбой

Пришло уведомление об обновлении WordPress 7.0.4 — не просто патч, а важная правка, которую можно пропустить, но не стоит. В ней закрыта уязвимость, где обычный файл изображения мог стать способом запуска кода на сервере, если его загрузил автор. Это не про анонимных хакеров, а про тех, кто уже внутри — и это меняет риск для сайтов с несколькими редакторами.

Речь о том, что WordPress раньше проверял тип файла только по расширению, а не по содержимому. Загрузили файл с именем holiday.png, а внутри — PostScript или PDF, и ImageMagick, который работает в фоне, сам определил формат по байтам. И если файл начинался с %! или другого сигнатуры, он запускал Ghostscript — и тот мог выполнить произвольный код. Это не выдумка, а повтор старых проблем вроде ImageTragick.

Такое могло случиться не через обычный загрузчик, а через XML-RPC или импорт обложки для MP3. Эти пути не проходили стандартную проверку, и уязвимость была реальной, особенно на сайтах с открытыми аккаунтами авторов. Правка — в том, что теперь WordPress сначала читает первые байты файла, а не доверяет расширению. Отбраковывает PostScript, EPS, фейковые PDF, а также файлы с подменёнными префиксами в имени.

Считаю, что это не просто «обнови и забудь». Это напоминание, что даже «безопасные» функции — загрузка медиа — могут быть лазейкой, если не проверять содержимое. Особенно если у сайта есть редакторы, не в твоём доверии. Уже начал обновлять WordPress у клиентов, где есть публичные авторы. У тех, где только админы — смотрю, но не тороплюсь.