WordPress.org
Get WordPress

Make WordPress Core

Changeset 63104


Ignore:
Timestamp:
08/06/2026 07:46:36 PM (5 weeks ago)
Author:
desrosj
Message:

Security: Backport the WordPress 7.0.3 security fixes to the 5.8 branch.

  • Users: Ensure a proper email address is used before sending email confirmations.
  • Formatting: Prevent stack overflow in safecss_filter_attr.
  • Multisite: Enforce the active signup policy for existing users.
  • HTTP API: Improve compliance with IPv4 Special-Purpose Address Space.
  • Users: Prevent Usernames from mangling HTML
  • Canonical: Only redirect for publicly viewable post types.
  • Administration: When wp_is_large_user_count(), ensure that the post author is always added to author dropdown.
  • Editor: Fix output for post date block.

Merges [63060],[63061],[63062],[63063],[63064],[63065],[63067] to the 5.8 branch.

Props xknown, westonruter, jeremyfelt, peterwilsoncc, paulkevan, lucasbustamante, jorbin, desrosj, vortfu, dmsnell, johnbillion, ehtis, batmoo, lancewillett, jonsurrell, isabel_brison, bernhard-reiter, tyxla, aduth.

Location:
branches/5.8/src
Files:
8 edited

Legend:

Unmodified
Added
Removed

  • branches/5.8/src/js/_enqueues/admin/inline-edit-post.js

    r50547 r63104  
    278278
    279279                        // The post author no longer has edit capabilities, so we need to add them to the list of authors.
    280                         $(':input[name="post_author"]', editRow).prepend('<option value="' + $('.post_author', rowData).text() + '">' + $('#' + t.type + '-' + id + ' .author').text() + '</option>');
     280                        $(':input[name="post_author"]', editRow).prepend(
     281                                new Option(
     282                                        $('#' + t.type + '-' + id + ' .author').text(),
     283                                        $('.post_author', rowData).text()
     284                                )
     285                        );
    281286                }
    282287                if ( $( ':input[name="post_author"] option', editRow ).length === 1 ) {

  • branches/5.8/src/wp-admin/includes/user.php

    r56884 r63104  
    4545        }
    4646
     47        $errors = new WP_Error();
     48
    4749        $pass1 = '';
    4850        $pass2 = '';
    … …  
    7981
    8082        if ( isset( $_POST['email'] ) ) {
    81                 $user->user_email = sanitize_text_field( wp_unslash( $_POST['email'] ) );
     83                $maybe_email = wp_unslash( $_POST['email'] );
     84                if ( is_string( $maybe_email ) && is_email( $maybe_email ) ) {
     85                        $user->user_email = $maybe_email;
     86                } else {
     87                        $errors->add( 'invalid_email', __( '<strong>Error</strong>: The email address isn&#8217;t correct.' ), array( 'form-field' => 'email' ) );
     88                }
    8289        }
    8390        if ( isset( $_POST['url'] ) ) {
    … …  
    139146                $user->use_ssl = 1;
    140147        }
    141 
    142         $errors = new WP_Error();
    143148
    144149        /* checking that username has been typed */

  • branches/5.8/src/wp-includes/canonical.php

    r51125 r63104  
    913913
    914914        if ( get_query_var( 'name' ) ) {
     915                $publicly_viewable_post_types = array_filter( get_post_types( array( 'exclude_from_search' => false ) ), 'is_post_type_viewable' );
     916
    915917                /**
    916918                 * Filters whether to perform a strict guess for a 404 redirect.
    … …  
    933935                if ( get_query_var( 'post_type' ) ) {
    934936                        if ( is_array( get_query_var( 'post_type' ) ) ) {
    935                                 // phpcs:ignore WordPress.DB.PreparedSQLPlaceholders.UnfinishedPrepare
    936                                 $where .= " AND post_type IN ('" . join( "', '", esc_sql( get_query_var( 'post_type' ) ) ) . "')";
     937                                $post_types = array_intersect( get_query_var( 'post_type' ), $publicly_viewable_post_types );
     938                                if ( empty( $post_types ) ) {
     939                                        return false;
     940                                }
     941                                $where .= " AND post_type IN ('" . implode( "', '", esc_sql( $post_types ) ) . "')";
    937942                        } else {
     943                                if ( ! in_array( get_query_var( 'post_type' ), $publicly_viewable_post_types, true ) ) {
     944                                        return false;
     945                                }
    938946                                $where .= $wpdb->prepare( ' AND post_type = %s', get_query_var( 'post_type' ) );
    939947                        }
    940948                } else {
    941                         $where .= " AND post_type IN ('" . implode( "', '", get_post_types( array( 'public' => true ) ) ) . "')";
     949                        $where .= " AND post_type IN ('" . implode( "', '", esc_sql( $publicly_viewable_post_types ) ) . "')";
    942950                }
    943951

  • branches/5.8/src/wp-includes/http.php

    r49108 r63104  
    554554                if ( $ip ) {
    555555                        $parts = array_map( 'intval', explode( '.', $ip ) );
    556                         if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0]
    557                                 || ( 172 === $parts[0] && 16 <= $parts[1] && 31 >= $parts[1] )
    558                                 || ( 192 === $parts[0] && 168 === $parts[1] )
     556
     557                        /*
     558                         * These IP address ranges are not considered valid external hosts for HTTP requests.
     559                         *
     560                         * If the host resolves to an IP address in these ranges, the request will be rejected unless the 'http_request_host_is_external' filter allows it.
     561                         *
     562                         * References:
     563                         *
     564                         * - IPv4 Special-Purpose Address Space: https://www.iana.org/assignments/iana-ipv4-special-registry/iana-ipv4-special-registry.xhtml
     565                         * - IPv4 Multicast Address Assignments: https://www.rfc-editor.org/rfc/rfc5771.html
     566                         */
     567                        if ( 127 === $parts[0] || 10 === $parts[0] || 0 === $parts[0]          // 127.0.0.0/8 (loopback), 10.0.0.0/8 (private), 0.0.0.0/8 (this network).
     568                                || ( 172 === $parts[0] && 16 <= $parts[1] && 31 >= $parts[1] )     // 172.16.0.0/12 (private).
     569                                || ( 192 === $parts[0] && 168 === $parts[1] )                      // 192.168.0.0/16 (private).
     570                                || ( 192 === $parts[0] && 0 === $parts[1] && 0 === $parts[2] )     // 192.0.0.0/24 (IETF protocol assignments).
     571                                || ( 192 === $parts[0] && 0 === $parts[1] && 2 === $parts[2] )     // 192.0.2.0/24 (TEST-NET-1).
     572                                || ( 192 === $parts[0] && 88 === $parts[1] && 99 === $parts[2] )   // 192.88.99.0/24 (6to4 relay anycast).
     573                                || ( 198 === $parts[0] && 51 === $parts[1] && 100 === $parts[2] )  // 198.51.100.0/24 (TEST-NET-2).
     574                                || ( 203 === $parts[0] && 0 === $parts[1] && 113 === $parts[2] )   // 203.0.113.0/24 (TEST-NET-3).
     575                                || ( 169 === $parts[0] && 254 === $parts[1] )                      // 169.254.0.0/16 (link-local and cloud metadata).
     576                                || ( 100 === $parts[0] && 64 <= $parts[1] && 127 >= $parts[1] )    // 100.64.0.0/10 (CGNAT).
     577                                || ( 198 === $parts[0] && 18 <= $parts[1] && 19 >= $parts[1] )     // 198.18.0.0/15 (benchmarking).
     578                                || ( 224 <= $parts[0] && 239 >= $parts[0] )                        // 224.0.0.0/4 (multicast).
     579                                || 240 <= $parts[0]                                                // 240.0.0.0/4 (reserved, includes 255.255.255.255 broadcast).
    559580                        ) {
    560581                                // If host appears local, reject unless specifically allowed.

  • branches/5.8/src/wp-includes/kses.php

    r61952 r63104  
    23912391                        // Allow CSS calc().
    23922392                        $css_test_string = preg_replace( '/calc\(((?:\([^()]*\)?|[^()])*)\)/', '', $css_test_string );
     2393                        if ( null === $css_test_string ) {
     2394                                continue;
     2395                        }
     2396
    23932397                        // Allow CSS var().
    23942398                        $css_test_string = preg_replace( '/\(?var\(--[a-zA-Z0-9_-]*\)/', '', $css_test_string );
     2399                        if ( null === $css_test_string ) {
     2400                                continue;
     2401                        }
    23952402
    23962403                        // Check for any CSS containing \ ( & } = or comments,
    23972404                        // except for url(), calc(), or var() usage checked above.
    2398                         $allow_css = ! preg_match( '%[\\\(&=}]|/\*%', $css_test_string );
     2405                        $allow_css = 0 === preg_match( '%[\\\(&=}]|/\*%', $css_test_string );
    23992406
    24002407                        /**

  • branches/5.8/src/wp-includes/user.php

    r54548 r63104  
    153153                                /* translators: %s: User name. */
    154154                                __( '<strong>Error</strong>: The username <strong>%s</strong> is not registered on this site. If you are unsure of your username, try your email address instead.' ),
    155                                 $username
     155                                esc_html( $username )
    156156                        )
    157157                );
    … …  
    178178                                /* translators: %s: User name. */
    179179                                __( '<strong>Error</strong>: The password you entered for the username %s is incorrect.' ),
    180                                 '<strong>' . $username . '</strong>'
     180                                '<strong>' . esc_html( $username ) . '</strong>'
    181181                        ) .
    182182                        ' <a href="' . wp_lostpassword_url() . '">' .
    … …  
    250250                                /* translators: %s: Email address. */
    251251                                __( '<strong>Error</strong>: The password you entered for the email address %s is incorrect.' ),
    252                                 '<strong>' . $email . '</strong>'
     252                                '<strong>' . esc_html( $email ) . '</strong>'
    253253                        ) .
    254254                        ' <a href="' . wp_lostpassword_url() . '">' .
    … …  
    29792979                                /* translators: %s: Admin email address. */
    29802980                                __( '<strong>Error</strong>: Couldn&#8217;t register you&hellip; please contact the <a href="mailto:%s">site admin</a>!' ),
    2981                                 get_option( 'admin_email' )
     2981                                esc_attr( get_option( 'admin_email' ) )
    29822982                        )
    29832983                );
    … …  
    31953195 * @since 3.0.0
    31963196 * @since 4.9.0 This function was moved from wp-admin/includes/ms.php so it's no longer Multisite specific.
     3197 * @since 7.0.3 Added the `$user_id` parameter, which is sent with the `personal_options_update` action.
     3198 *
     3199 * @param int $user_id Optional. The ID of the user whose email is being changed. Defaults to `$_POST['user_id']` if set, otherwise 0.
    31973200 *
    31983201 * @global WP_Error $errors WP_Error object.
    31993202 */
    3200 function send_confirmation_on_profile_email() {
     3203function send_confirmation_on_profile_email( $user_id = 0 ) {
    32013204        global $errors;
     3205
     3206        // Maintain backward compatibility for those relying on a check based on $_POST['user_id'].
     3207        if ( ! $user_id && isset( $_POST['user_id'] ) ) {
     3208                $user_id = (int) $_POST['user_id'];
     3209        }
    32023210
    32033211        $current_user = wp_get_current_user();
    … …  
    32063214        }
    32073215
    3208         if ( $current_user->ID != $_POST['user_id'] ) {
     3216        if ( 0 === $current_user->ID || $current_user->ID !== (int) $user_id ) {
    32093217                return false;
    32103218        }
    … …  
    32203228                        );
    32213229
     3230                        $_POST['email'] = addslashes( $current_user->user_email );
    32223231                        return;
    32233232                }
    … …  
    32333242                        delete_user_meta( $current_user->ID, '_new_email' );
    32343243
     3244                        $_POST['email'] = addslashes( $current_user->user_email );
    32353245                        return;
    32363246                }

  • branches/5.8/src/wp-login.php

    r50677 r63104  
    10411041                                        /* translators: %s: Link to the login page. */
    10421042                                        __( 'Check your email for the confirmation link, then visit the <a href="%s">login page</a>.' ),
    1043                                         wp_login_url()
     1043                                        esc_url( wp_login_url() )
    10441044                                ),
    10451045                                'message'
    … …  
    10511051                                        /* translators: %s: Link to the login page. */
    10521052                                        __( 'Registration complete. Please check your email, then visit the <a href="%s">login page</a>.' ),
    1053                                         wp_login_url()
     1053                                        esc_url( wp_login_url() )
    10541054                                ),
    10551055                                'message'

  • branches/5.8/src/wp-signup.php

    r50828 r63104  
    962962                        break;
    963963                case 'gimmeanotherblog':
    964                         validate_another_blog_signup();
     964                        if ( 'all' === $active_signup || 'blog' === $active_signup ) {
     965                                validate_another_blog_signup();
     966                        } else {
     967                                _e( 'Site registration has been disabled.' );
     968                        }
    965969                        break;
    966970                case 'default':
Note: See TracChangeset for help on using the changeset viewer.