WordPress 7.0.3 正式发布

WordPress 7.0.3 安全版本正式发布

WordPress 团队于本周发布了 7.0.3 版本，这是一次专门针对安全问题的修复。官方强烈建议所有站点立即升级，以避免已知漏洞被利用。

核心安全修复

本次更新共计修复 11 类安全漏洞，涵盖以下主要风险： 跨站脚本（XSS）漏洞

• 登录页面存在预认证反射型 XSS，可能导致 PHP 代码执行（发现者：pwn.ai 团队）
• Emoji 设置功能存在贡献者级别存储型 XSS（发现者：amosec）
• 文章内容块存在贡献者级别存储型 XSS（发现者：n05ec）
• 快速编辑功能在用户数量较多的站点存在存储型 XSS（发现者：Naveen S、Ajmal Moochingal）
• 文章日期块存在贡献者级别存储型 XSS（发现者：Alex Concha）

权限与信息泄露

• 多站点网络在开放用户注册时存在权限提升漏洞，可被利用创建新站点（发现者：Aikido Security）
• 最新评论模块会泄露受密码保护文章的评论内容（发现者：Ehtisham Siddiqui）
• 文章别名枚举漏洞（发现者：HDWSec）
• 评论订阅源会暴露备注信息（发现者：Elio Gubser）

其他安全缺陷

• 作者级别可通过绕过安全 CSS 过滤机制注入恶意样式（发现者：Anthropic）
• 邮箱地址确认流程可被绕过（发现者：0ways）
• URL 验证存在服务端请求伪造（SSRF）风险，攻击者可请求本地链路地址（发现者：Andrew Mohawk 等）

登录页面 XSS 漏洞详情可查阅：CVE-2026-64638 / GHSA-52p2-r8wf-jcrf

影响与建议

受影响的版本范围：7.0 及以下版本均存在上述安全隐患，官方正在将相关修复向后移植至 4.7 及更高分支版本。

升级方式：

• 直接从 WordPress 官网下载最新包
• 访问后台“仪表盘 → 更新”，点击“立即更新”按钮
• 支持自动后台更新的站点将在数小时内自动完成升级

版本支持状态：目前仅最新版 WordPress 获得官方主动支持，建议用户保持及时更新。

此外，WordPress 7.1 RC2 也已同步发布，包含所有适用的安全修复。

延伸阅读

• WordPress 安全公告
• pwn.ai 官网
• Aikido Security 官网