Planeta WordPress

Ayer lanzaron la primera beta (y ya hoy han sacado la segunda beta para corregir un problema con la primera) de lo que será la próxima versión estable de WordPress, la 2.3.2. Ya se pueden ir viendo las principales novedades, casi todas entorno a la seguridad y la base de datos.

• El ticket 5473 hace que no sean mostrados los errores de la base de datos cuando existe algún problema salvo que se defina en el fichero wp-config.php de la siguiente forma:

  define('WP_DEBUG',true);
  

  Lo cual es lógico ya que aunque no suelo ser amante de la seguridad basada en la oscuridad (no revelar información) un entorno en producción no tiene porque mostrar los errores que se producen.

• El 5487 y el 5495 son dos fallos de seguridad catalogados como de importancia alta, el primero crea una situación en que las entradas futuras y los borradores pueden ser vistos y el segundo es una falta de comprobación: se puede apuntar a una base de datos inexistente y iniciar la instalación, la cual sigue su curso hasta que llega a un bucle sin fin.

• El 5500 permite ahora crear una página de error de conexión a base de datos personalizada, sólo hay que crearla en wp-content/db-error.php. Con esto ya no habrá que tocar código

Por último toca hacer especial mención al ticket 5325, reportado hace tiempo y que finalmente parece que están metiendo mano. Este ticket comenta que todas las funciones habitualmente llamadas “para la plantilla” (the_title(), the_permalink()) van canalizadas a través de get_post() el cual hace cache del contenido.

El problema viene en que hace la cache antes de filtrar el contenido (”sanitizar”) y no después, éste filtrado lo hace con sanitize_post y sanitize_post_field. Dado que la cache se produce antes, estas funciones tienen que ejecutarse cada vez.

Según el autor del reporte, esas dos funciones para filtrar el contenido se llevan entre el 8% y el 15% (9.5% de media) del tiempo consumido en generar la página. Con la cache generada después del filtrado esos valores cambian a 0.1% – 0.2%. Lo cual es un cambio para nada despreciable.

Por último se ha cambiado en la rama de desarrollo la forma de autentificar usuarios y de generación de cookies, de ésto último dá más detalles Alex en una entrada de Buayacorp.

desarrollo web, seguridad, wordpress