PublishPress Revisions 4.3.3 beseitigt mehrere Sicherheitsprobleme bei der Bearbeitung, Freigabe und Wiederherstellung von WordPress-Beitragsrevisionen. Der Hersteller hat unter anderem Berechtigungsprüfungen für REST-Abfragen verschärft, Cross-Site-Scripting bei Revisionsmetadaten behoben und Aktionen gegen gefälschte Anfragen abgesichert. Das Update wurde am 11. November 2026 im Versionsprotokoll verzeichnet; am 13. November erläuterte PublishPress die Korrekturen. Betreiber, die das Plugin für redaktionelle Freigabeprozesse einsetzen, sollten die installierte Version überprüfen.
Berechtigungen für Revisionen genauer geprüft
Die Erweiterung erlaubt es, Änderungen an bereits veröffentlichten Beiträgen zunächst einzureichen und erst nach einer Freigabe zu übernehmen. Gerade bei Websites mit mehreren Autoren hängen daran unterschiedliche Rechte für das Ansehen, Ändern, Einreichen, Genehmigen, Löschen und Wiederherstellen von Inhalten.
Version 4.3.3 prüft die Autorisierung bei Statuswechseln und revisionsbezogenen Beitragsabfragen über die WordPress-REST-API strenger. Die Freigabe zur Bearbeitung einer Revision soll nicht mehr unbeabsichtigt weitere Rechte eröffnen. Außerdem werden Sichtbarkeitsbeschränkungen für Warteschlangen und archivierte Revisionen konsequenter berücksichtigt. Auch unzulässige Änderungen der Autoren-Zuordnung bei der Einreichung werden verhindert.
Schutz vor XSS, CSRF und unzulässigen Einstellungen
Zu den weiteren Korrekturen zählt ein Cross-Site-Scripting-Fehler (XSS) bei der Übermittlung von Revisionsmetadaten. Zusätzliche Prüfungen schützen das Anlegen und Duplizieren von Beiträgen sowie das Löschen von Revisionen vor Cross-Site-Request-Forgery (CSRF). Für die Wiederherstellung archivierter Fassungen setzt die Erweiterung das dafür vorgesehene Recht restore_revisions durch.
Im Änderungsprotokoll ist zudem ein SQL-Injection-Problem bei der Aktualisierung von Plugin-Einstellungen aufgeführt, das Administratoren betrifft. Aus dieser Angabe lässt sich keine unauthentifizierte Angriffsmöglichkeit ableiten. Der Hersteller nennt für die gesamte Aktualisierung keine einheitliche CVSS-Bewertung und beschreibt auch keine bestätigte aktive Ausnutzung; entsprechende Behauptungen wären daher nicht gerechtfertigt.
Auch Fehler in der Revisionswarteschlange behoben
Neben den Sicherheitskorrekturen beseitigt 4.3.3 mehrere Fehler im Freigabeablauf. Unter bestimmten Bedingungen wurden reguläre veröffentlichte Beiträge fälschlich als Revision interpretiert, wodurch ihre tatsächlichen Änderungsvorschläge in der Warteschlange verschwanden. Eine weitere Korrektur verhindert, dass ein normaler Beitrag unbeabsichtigt in eine Revision umgewandelt wird.
Hinzu kommen Anpassungen für die Zusammenarbeit mit PublishPress Permissions, Yoast SEO und dem Action Scheduler. Redaktionen mit abgestuften Benutzerrollen sollten nach dem Update insbesondere die Revisionseinreichung, Einsicht in fremde Entwürfe, Genehmigung und geplante Veröffentlichung mit einem eingeschränkten Testkonto durchspielen. Bestehende Berechtigungen sollten dabei nicht pauschal erweitert werden.
Versionen und technische Voraussetzungen
Das öffentliche WordPress-Pluginverzeichnis führt PublishPress Revisions aktuell mit Version 4.3.3 und mehr als 10.000 aktiven Installationen. Als Mindestvoraussetzungen nennt die Projektseite WordPress 5.5 und PHP 8.2; getestet ist die Erweiterung bis WordPress 7.1.4.
Die frei verfügbare Erweiterung und die Pro-Ausgabe besitzen eigene Versionsprotokolle. Im frei zugänglichen GitHub-Changelog stehen die Sicherheitskorrekturen zu 4.3.3; der Hersteller dokumentiert für die Pro-Ausgabe zusätzliche Kompatibilitätsanpassungen, etwa für den Avada Builder. Welche Einzelkorrektur eine Installation benötigt, richtet sich daher auch nach der eingesetzten Edition und den aktivierten Integrationen.
Download und Update
Der offizielle Download der freien Version erfolgt über das deutsche WordPress-Pluginverzeichnis; alternativ steht die Aktualisierung in der WordPress-Pluginverwaltung bereit. Eine vorhandene Pro-Lizenz wird über den vom Hersteller vorgesehenen Updateweg aktualisiert. Vor der Aktualisierung sind eine aktuelle Sicherung und bei komplexen Redaktionsabläufen ein kurzer Test der Freigaberegeln sinnvoll.
Weitere Details finden sich im offiziellen Änderungsprotokoll der freien Version, in den Versionshinweisen der Pro-Ausgabe sowie in der Herstellerinformation vom 13. November.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten