Advanced Custom Fields 6.8.10 发布安全更新

Advanced Custom Fields 6.8.10 版本现已发布。

本次发布包含 ACF 和 ACF PRO 的多项安全修复。

我们建议所有 ACF 和 ACF PRO 用户尽快升级。

总结

👨‍💻 请在下方查看发布说明。如需了解 ACF 的最新消息，请在 Twitter 上关注我们 @wp_acf。

我们极其重视 ACF 的安全性，并始终致力于保护用户安全。如果您发现了代码漏洞或存在安全问题，请查看我们的安全页面以了解更多信息。

安全 – ACF 现在会验证上传的 PDF 文件在进一步处理前是否以标准 %PDF- 文件头开头，并拒绝不符合预期格式的文件
安全 – Relationship、Post Object、Image、Gallery 和 File 字段现在会在 REST API 响应中返回引用的文章和附件时强制执行 WordPress 读取权限检查
安全 – ACF 现在会在获取文章的字段值并替换修订数据之前，同时验证预览上下文和调用者的编辑权限
安全 – 前端表单使用的 _acf_form 令牌现在会过期并与其生成时对应的渲染实例绑定，且 acf_encrypt() / acf_decrypt() 新增了一个可选的 $context 参数，用于在令牌用途之间进行域隔离
安全 – ACF 现在会始终对包含字段数据的前端表单提交运行字段验证，确保必填字段检查和自定义 acf/validate_value 过滤器不会被绕过
安全 – 对于无权读取目标对象的调用者，ACF 的 REST API 模式在 OPTIONS 请求中不再披露各对象的字段组配置
安全 – User 字段 AJAX 端点现在会验证请求 nonce 是否为 User 字段创建

如对本版本发布有疑问或需要帮助，请联系我们的支持团队。

文章 ACF 6.8.10 安全版发布首次出现在 ACF。