此安全与维护更新包含 7 项安全修复和 4 项错误修复。

由于这是安全更新，建议您立即更新您的站点。

您可以从 WordPress.org 下载 WordPress 7.1.3，或访问您的 WordPress 仪表盘，点击“更新”，然后点击“立即更新”。如果您的站点支持自动后台更新，更新过程将自动开始。

本次发布包含的安全更新

安全团队感谢以下人员和组织负责任地报告漏洞，并允许在本案中修复：

  • 评论管理页面上的存储型 XSS，可通过待处理评论利用，由 Trail of Bits 与 OpenAI 合作报告。
  • WP_Http::make_absolute_url() 方法中的拒绝服务（DoS）问题，由 Anthropic 报告。
  • WordPress WXR 导出中的二阶 SQL 注入，由 Anthropic 报告。
  • 允许作者角色用户固定帖子的弱点，由 Anthropic 报告。
  • 私有及未发布帖子上的评论被未授权披露，由 Patchstack 的 Ananda Dhakal 报告。
  • Imgur 嵌入易受 XSS 攻击，由 Zhengyu Liu、Jingcheng Yang 和 Gavin Zhong 报告。
  • 传递给 {status}_{type} 钩子的可伪造参数可能导致动作名称冲突，由 WordPress 安全团队的 Alex Concha 报告。