Novinky ze světa WP - únor a březen

Krátké shrnutí toho nejdůležitějšího ze světa WordPressu bohatě doplněné o odkazy na podrobnější zdroje (povětšinou anglicky).

WordPress

Na začátku března vyšel WordPress 5.7 vyčerpávající přehled změn jako vždy na blogu Kinsty. V blokovém editoru jsme se dočkali vylepšení variant bloků, nastavení pro tlačítek a sociálních icon, možnost zvolit font pro seznam a blok kódu. V administraci nově můžete odeslat email s resetem hesla i jinému uživateli. WP pomůže zmigrovat web na https. Z hlediska UI je velkou novinkou zpřehlednění přihlašování a registrace a sjednocení barevné palety. Developeři ocení nativní lazy-loading (ale ne všechny iframe mají nastavené parametry height a width), filtry přímo pro block type, render_block_{$this->name}, robots API a filtry pro práci s se skripty včetně podpory async a přidání nonce.

Je dost pravděpodobné, že v roce 2021 nebudou 4 velké releasy WP, jak píše Sarah Gooding.

Release WP 5.8 obsahující zejména Full-site editing je posunut na červenec. FSE zdaleka není připraven a debata kolem něj neutichá (odkazy níže). Aby se stalo součástí releasu mělo by mimo jiné splnit MVP – umožnit postavit věrnou kopii Twenty Twenty One. Živý pokus můžete sledovat 6. dubna od 15 hodin na WP Café s Caroline Nymark a Mel Dwan-Choyce.

Kromě FSE se chystají i další velké změny – bloková galerie složená z jednotlivých (plně editovatelných) obrázků – call for testing a komentář Justina Tadlocka.

Akce

27. února proběhl online WordCamp Praha 2021 vedený Janem Štětinou a týmem stojícím i za portálem naswp.cz. Všechny přednášky z nabitého programu najdete na našem YouTube kanálu. Pokud by vás zajímaly Honzovy postřehy o tom, jak zorganizovat takovou akci, tak o tom napsal detailní článek.

31.3. se bude konat další WP pivo #Online, tentokrát se zahraničními hosty a v angličtině. Můžeme se těšit na 2 přednášky – o podcastech s využitím WP a provozování statického WordPressu.

WordCamp Europe bude i letos online, a to 7–10. června, od pondělka do čtvrtka, víc zatím nevíme ;)

Rychlé tipy a postřehy

40 % webů od února běží na WP
Full site editing: Vyčerpávající rozcestník k full-site editing pravidelně aktualizovaný na Guttenberg News. Jak se pracuje s Query blockem? od Fränka Kleina
FSE diskuse: Měl by být Full site editing součástí WP 5.8? od Fränka Kleina, Vývoj WP směrem k full-site editing od Goeff Grahama, Mohu postavit landing page? Od Birgit Pauli-Haack
Konec podpory IE 11? Proposal na make.wordpress.org
Google vydal první video ke svému AMP pluginu pro WP
Plugin Flying pages vám pomůže s přednačítáním obsahu a vylepšením uživatelského prožitku (podobná funkcionalita je součástí i placeného WP Rocket, pokud používáte)
Automattic připravil plugin Newspack Newsletters, díky kterému můžete stavět e-maily přímo v Gutenbergu a pak je napojit na populární služby
Nejlepší strategie pro načítání fontů a jejich implementace – Zell Liew na CSS tricks
Core Web Vitals – pokud splníte všechna tři kritéria, pomůže to vyhledávání, jinak ne

Bezpečnostní okénko

Kritická chyba v Thrive Theme a dalších Thrive pluginech umožňovala neautentifikované spouštění kódu.
Chyba v Elementoru umožňovala komukoliv s přístupem do editoru vkládat javascript (XSS).
Závažnější problém se objevil v The Plus Addons for Elementor, kde chyby umožnily jednoduchou plnou kompromitaci webu.
Bylo opraveno několik chyb v Ninja Forms, jedna z nich například umožňovala získat údaje ke službě SendWP a zneužít účet k rozesílání spamu.
V pluginu Responsive Menu bylo objeveno špatné ověření práv administrátora a tak mohl i uživatel s nejnižším oprávněním do webu nahrát vlastní kód.
V pluginu NextGen Gallery byla opravena další sada závažných bezpečnostních chyb.
BuddyPress obsahoval chybu, kdy libovolný uživatel mohl vykonávat akce s právy administrátora.
Tutor LMS opravil SQL injection a další chyby, které umožňovali roli student provádět akce s vyšším oprávněním.
Bezpečnostním problémům se nevyhnuli ani v Automattic – v plugin u WP Super Cache tak bylo možné přes formulář pro nastavení (vyžadována role administrátora) dostat do webu vlastní PHP kód.
Byl kompromitován GIT repozitář PHP a útočník vložil do zdrojových kódů backdoor, problém byl naštěstí rychle objeven.