WordPress 7.1.4 安全更新修复远程代码执行与多项存储型 XSS 漏洞

此次安全版本包含针对多个问题的修复。

由于这是一个安全版本，建议您立即更新您的网站。

您可以从 WordPress.org 下载 WordPress 7.1.4，也可以访问 WordPress 仪表板，点击“更新”，然后点击“立即更新”。如果您有支持自动后台更新的网站，更新过程将自动开始。
WordPress 7.1.4 是一个短周期版本。下一个主要版本将是 7.2，目前计划于 December 8th 发布。

有关更多信息，请访问 WordPress 7.1.4 HelpHub 站点。

此版本包含的安全更新

安全团队感谢以下人员和组织负责任地报告漏洞，并允许这些漏洞在此版本中得到修复：

• WordPress 升级流程中的一个缺陷，可能导致在升级窗口期间远程执行代码，由 Umut Bayram 报告。
• 利用精心构造的区块标记实施存储型 XSS，由 Rafie Muhammad（Awesome Motive, Inc.）报告。
• 隐私数据删除请求的创建方式可能导致存储型 XSS，由 Anthropic 报告。
• Interactivity API 中多个存储型 XSS 问题，由来自 VietSunshine Cyber Security 的 AnC 和 DatNLQ、rekter0 和 Anas cherni、Marcel Karlsson（whoismarcel），以及来自 WordPress Security Team 的 Weston Ruter、Jon Surrell、Alex Concha 和 Luis Herranz 独立发现。
• Interactivity API 中的一个存储型拒绝服务问题，由 WordPress Security Team 的 Jon Surrell 报告。
• Customizer 选择性刷新中的存储型 XSS，由 Rafie Muhammad（Awesome Motive, Inc.）报告。
• Categories 区块中的存储型 XSS，由 WordPress Security Team 的 Ben Bidner 报告。
• 精心构造的用户登录名可能导致存储型 XSS，由 Anthropic 报告。
• 未发布的 Customizer 变更集可被未认证用户发现，由 Antonio Lorensius Silaban 报告。
• 播放列表和图片区块中的存储型 XSS，由 WordPress Security Team 的 Ben Bidner 报告。
• core/comments-pagination-next 和 core/comments-pagination-previous 区块中的存储型 XSS，由 WordPress Security Team 的 Alex Concha 报告。
• 某些高权限用户虽然无权编辑便笺所附的文章，仍可读取这些便笺；此问题由 WordPress Security Team 的 Ramon 报告。
• 由于 eMudhra 吊销，对随附的根证书进行了更新。

感谢这些 WordPress 贡献者

此版本由 Aaron Jorbin 和 Nik Tsekouras 主导。如果没有以下人员的贡献，WordPress 7.1.4 不可能完成：

Aaron Jorbin、Adam Silverstein、Alex Concha、Andrew Duthie、Andrew Serong、David Arenas、Dennis Snell、Ella Van Durpe、George Mamadashvili、Isabel Brison、Jake Spurlock、Jb Audras、Jeremy Felt、John Blackbourn、Jon Surrell、Jonathan Desrosiers、Kira Song、Lance Willett、luisherranz、Marco Ciampini、marcs0h、Marin Atanasov、Mario Santos、Miguel Fonseca、Nik Tsekouras、Peter Wilson、ramonopoly、Rudy Faile、Sergey Biryukov、umut3806、Weston Ruter

回移植

作为一项便利措施，这些安全修复已回移植到所有符合接收安全修复条件的分支（目前截至 4.7）。提醒一下，只有最新版本的 WordPress 仍受主动支持。回移植工作正在进行中，将在准备就绪后发布。

WordPress 7.2 Beta 3 也已发布，其中包含所有适用的修复。