Atualização da versão 6.3.6 do ACF: segurança reforçada para o acesso ao valor do campo do editor de conteúdos

Acesso ao valor do campo no editor de conteúdos

Os atalhos ACF são uma forma de os editores de conteúdos acederem aos valores dos campos ACF quando criam e apresentam conteúdos de artigos. A versão mais recente do ACF introduziu melhorias significativas na segurança dos atalhos ACF e, para melhorar ainda mais este aspeto, os atalhos ACF são, por defeito, seguros contra ACF 6.3.0 e superiores estão noestado de desativação. No entanto, permitir que os utilizadores do site acedam aos dados do campo no editor requer confiança e existe sempre um risco de segurança inerente. Essa é uma das razões pelas quais recursos recentes do WordPress, como o Ligações em bloco responder com cânticos Bits(em breve)) para mais perguntas.

Para suportar de forma segura estas novas funcionalidades e aumentar o nível de segurança dos atalhos ACF existentes, o ACF 6.3.6 introduziu uma nova definição de nível de campo. Esta definição marca os campos como permitindo aos editores aceder e utilizar os valores dos campos nos conteúdos.Permitir o acesso ao valor na IU do editor

Isto significa, por exemplo, que um programador pode permitir o acesso do código curto ACF a determinados campos, mas não permitir que os editores de conteúdos acedam aos campos utilizados nas páginas de opções internas, que só são acessíveis aos administradores do sítio.

Isto pode ser feito editando o campo e navegando para 'Apresentação' para aceder às definições do campo:

Para qualquer campo criado antes da versão 6.3.6 do ACF, é ativado por defeito o mesmo comportamento que o existentepartidamas será desactivada para todos os novos campos adicionados depois disso. Isto significa que quando um campo é criado, a definiçãoPrecisa de optar explicitamente por permitir que os editores de conteúdos acedam ao campo. Isto não afecta qualquer acesso baseado em código a valores quepor exemplo (matemática) génerotalvez e aplica-se apenas a quaisquer métodos existentes ou futuros de acesso a valores de campo no editor de conteúdos.the_fieldget_fieldget_post_meta

Recomendamos que, após a atualização para a versão 6.3.6, os utilizadores do ACF revejam os seus grupos de campos e campos e desactivem a definição para quaisquer campos que contenham informações sensíveis, especialmente os campos associados a páginas de opções ou utilizadores.

Registo de alterações

• Segurança - os campos recentemente adicionados têm agora de ser explicitamente definidos para permitir o acesso no editor de conteúdos (ao utilizar códigos curtos ACF ou ligações de blocos) para melhorar a segurança das permissões de campo
• Correção de segurança - Os rótulos dos campos são agora corretamente escapados quando apresentados no editor do Grupo de campos para evitar potenciais problemas de XSS. Agradecemos a Ryo Sotoyama da Mitsui Bussan Secure Diretions, Inc. pela divulgação responsável!
• Correção - A validação e o bloqueio do nonce do pedido AJAX já não serão substituídos por plug-ins de terceiros
• Correção - a deteção de bibliotecas select2 de terceiros será agora predefinida para a v4 em vez da v3
• Correção - A pré-visualização do bloco mostrará agora um erro se o ficheiro PHP do modelo de renderização não for encontrado