Actualización de la versión 6.3.6 de ACF: seguridad mejorada para el acceso a los valores de campo del editor de contenidos

Acceso al valor del campo en el editor de contenidos

Los shortcodes ACF son una forma de que los editores de contenidos accedan a los valores de los campos ACF al crear y mostrar el contenido de los artículos. La última versión de ACF ha introducido mejoras significativas en la seguridad de los shortcodes ACF, y para mejorar aún más esto, los shortcodes ACF son por defecto seguros contra ACF 6.3.0 y superiores están en elestado desactivado. Sin embargo, permitir que los usuarios del sitio accedan a los datos de los campos en el editor requiere confianza y siempre existe un riesgo de seguridad inherente. Esta es una de las razones por las que las recientes características de WordPress como el Fijaciones en bloque responder cantando Bits(próximamente)) para más preguntas.

Con el fin de soportar de forma segura estas nuevas funciones y aumentar el nivel de seguridad de los shortcodes ACF existentes, ACF 6.3.6 introdujo un nuevo ajuste de Nivel de campo. Este ajuste marca los campos que permiten a los editores acceder a los valores de campo y utilizarlos en el contenido.Permitir el acceso al valor en la interfaz de usuario del editor

Esto significa, por ejemplo, que un desarrollador podría permitir el acceso del shortcode ACF a ciertos campos, pero no permitir a los editores de contenido el acceso a los campos utilizados en las páginas de opciones internas, que sólo son accesibles a los administradores del sitio.

Para ello, edite el campo y vaya a 'Presentaciónpara acceder a la configuración de los campos:

Para cualquier campo creado antes de ACF 6.3.6, se activa por defecto el mismo comportamiento que el existentematchpero se desactivará para todos los campos nuevos que se añadan a partir de ese momento. Esto significa que cuando se crea un campo, la opciónEs necesario elegir explícitamente permitir a los editores de contenido acceder al campo. Esto no afecta a ningún acceso basado en código a valores quepor ejemplo (matem.) génerotal vez y sólo se aplica a los métodos existentes o futuros de acceso a los valores de campo en el editor de contenido.the_fieldget_fieldget_post_meta

Recomendamos que, tras actualizar a la versión 6.3.6, los usuarios de ACF vuelvan a revisar sus grupos de campos y campos y desactiven los campos que contengan información confidencial, especialmente los campos asociados a páginas de opciones o usuarios.

Registro de cambios

• Seguridad: los campos añadidos recientemente ahora deben configurarse explícitamente para permitir el acceso en el editor de contenido (cuando se utilizan shortcodes ACF o enlaces de bloque) para mejorar la seguridad de los permisos de campo.
• Corrección de seguridad - Las etiquetas de campo ahora se escapan correctamente cuando se muestran en el editor de grupos de campos para evitar posibles problemas de XSS. Gracias a Ryo Sotoyama de Mitsui Bussan Secure Directions, Inc. por la revelación responsable.
• Corrección - La validación y el bloqueo del nonce de petición AJAX ya no serán anulados por plugins de terceros.
• Corrección - la detección de bibliotecas select2 de terceros ahora será por defecto v4 en lugar de v3
• Fix - La vista previa del bloque ahora mostrará un error si no se encuentra el archivo PHP de la plantilla de renderizado