WordPress 7.1.4 发布，修复多项安全问题

WordPress 7.1.4 安全维护版发布：一次以远程代码执行风险为重点的集中修复

WordPress 7.1.4 是一次安全维护版本（短周期版本，short-cycle release），集中修复了多个安全漏洞。其中最值得关注的是升级流程本身存在缺陷，可能在升级窗口期内导致远程代码执行。因此，官方建议所有站点尽快完成更新。

本次发布由 Aaron Jorbin 与 Nik Tsekouras 主导。WordPress 7.1.4 之后的下一个主要版本为 7.2，目前的计划发布时间是 12 月 8 日；与此同时，WordPress 7.2 Beta 3 也已发布，其中已包含所有适用的修复内容。

核心变化：本版本修复了哪些问题

本次修复覆盖升级流程、Interactivity API、Customizer、评论区与区块（Block）等多个组件，主要包括：

• 升级流程缺陷：升级过程中可能触发远程代码执行，由 Umut Bayram 报告。
• Interactivity API 的多个存储型 XSS：由 VietSunshine Cyber Security 的 AnC、DatNLQ、rekter0、Anas cherni，Marcel Karlsson（whoismarcel），以及 WordPress 安全团队的 Weston Ruter、Jon Surrell、Alex Concha、Luis Herranz 独立发现。
• Interactivity API 的存储型拒绝服务：由 WordPress 安全团队的 Jon Surrell 报告。
• 精心构造的区块标记引发的存储型 XSS：由 Rafie Muhammad（Awesome Motive, Inc.）报告。
• “隐私数据删除请求”可被构造为触发存储型 XSS：由 Anthropic 报告。
• 精心构造的用户登录名可导致存储型 XSS：由 Anthropic 报告。
• Customizer 选择性刷新中的存储型 XSS：由 Rafie Muhammad（Awesome Motive, Inc.）报告。
• 未发布的 Customizer 变更集可被未认证用户发现：由 Antonio Lorensius Silaban 报告。
• Categories 区块的存储型 XSS：由 WordPress 安全团队的 Ben Bidner 报告。
• Playlist 与图片区块的存储型 XSS：由 WordPress 安全团队的 Ben Bidner 报告。
• core/comments-pagination-next 与 core/comments-pagination-previous 区块中的存储型 XSS：由 WordPress 安全团队的 Alex Concha 报告。
• 权限边界问题：无权编辑某篇文章的高权限用户，仍可读取挂在该文章上的备注（Notes），由 WordPress 安全团队的 Ramon 报告。
• 内置根证书更新：因 eMudhra 证书被吊销而更新随附的根证书。

影响与建议：站点运营方该怎么做

• 优先更新：鉴于升级流程本身存在可被利用的风险，建议不要等待 7.2 正式版，而是尽快升级到 7.1.4。
• 更新方式：可从 WordPress.org 下载安装包，或进入站点后台「更新」页面并点击「立即更新」；已启用自动后台更新的站点会自动开始升级流程。
• 检查自定义与第三方代码：此次多项漏洞集中在 Interactivity API、Customizer 和区块标记上。如果站点大量使用自定义区块、Customizer 动态部件或第三方构建的区块，升级后建议重点对这些页面进行回归测试，并同步更新相关插件与主题。
• 审视角色权限配置：备注读取权限问题表明，需要复核编辑角色与更高权限角色之间的权限边界，尤其是多人协作运营的站点。
• 关注旧版本回移进度：出于礼节，安全修复已回移至所有符合条件且目前截至 4.7 的分支，回移版本将在就绪后陆续发布。但官方再次提醒：只有最新版本的 WordPress 处于积极维护状态。仍在使用旧版本的站点运营方，更合理的做法是升级到当前主版本，而非依赖回移。
• 继续跟进 7.2：如需提前测试，可关注 WordPress 7.2 Beta 3，其中已包含全部适用的修复。

延伸阅读

• 拉菲·穆罕默德（LinkedIn 个人主页）
• 马塞尔·卡尔森（whoismarcel 官方主页）
• 安东尼奥·洛伦修斯·西拉班（LinkedIn 个人主页）
• 亚伦·乔尔宾（WordPress 官方个人主页）
• 亚当·希尔斯坦（WordPress 官方个人主页）
• 亚历克斯·孔查（WordPress 官方个人主页）