Ho appena appreso dal blog di crisis di una vulnerabilità  nel file templates.php di WordPress (il motore che fa funzionare questo sito) che consentirebbe, ad un utente malintenzionato che abbia accesso a questo file, di inserirvi del codice HTML o javascript arbitrario, che verrebbe poi eseguito dagli altri amministratori.

Sono affette da questa vulnerabilità  tutte le versioni di WordPress, compresa l’attuale 2.0.5.

Per rimediare alla vunerabilità , basta scaricare la versione corretta da qui, estrarre il file templates.php e utilizzarlo per sovrascrivere il file wp-admin/templates.php esistente.

UPDATE

Come mi ha fatto giustamente notare il mio amico Daxeel, sovrascrivendo il file e selezionando, dal menù di amministrazione, Gestione -> File, si ottiene un bel

Fatal error: Call to undefined function attribute_escape() in /wp-admin/templates.php on line 114

La soluzione alla quale, prima lui, poi io, siamo arrivati è quella di editare il vecchio file wp-admin/templates.php e sostituire la riga 114 con questa:

echo "<li><a href='templates.php?file=" . wp_specialchars($recent, true) . "'>" . wp_specialchars(get_file_description(basename($recent))) . "</a></li>";

Con questa piccola modifica, la vulnerabilità  dovrebbe essere risolta ed anche Gestione -> File dal menù d’amministrazione è tornato a funzionare!