WordPress 7.1.1 发布维护与安全更新，修复 11 项安全问题

本次安全与维护版本包含 Core 的 17 项错误修复、Block Editor 的 19 项错误修复，以及 11 项安全修复。

由于这是一个安全版本，建议您立即更新您的站点。

您可以从 WordPress.org 下载 WordPress 7.1.1，也可以访问您的 WordPress Dashboard，点击“更新”，然后点击“立即更新”。如果您的站点支持自动后台更新，更新过程将自动开始。

WordPress 7.1.1 是一个短周期版本。下一个主要版本将是 7.2，目前计划于 12 月发布。

有关更多信息，请访问 WordPress 7.1.1 HelpHub 网站。

本次版本包含的安全更新

安全团队感谢以下人员负责任地报告漏洞，并允许这些漏洞在本次版本中得到修复：

wpautop()中存在存储型跨站脚本漏洞，允许未经身份验证的访问者注入脚本（须经过评论审核），由 Rafie Muhammad（Awesome Motive, Inc.）报告。
HTML API：set_modifiable_text()允许通过突然闭合序列跳出评论范围，由 WordPress 安全团队的 Jeremy Felt 报告。
某些支持自定义页眉的主题中存在存储型 XSS，由 WordPress 安全团队的 Jeremy Felt 报告。
specially crafted URLs 可以自动安装并预览来自 WordPress.org 的未启用主题，由 Paulos Yibelo 和 pwn.ai 报告。
站点管理员可以通过网络激活仅限网络使用的已安装插件，由 Jesse McNeil 报告。
WP REST Templates Controller 中存在需要身份验证的路径遍历漏洞，由 Anthropic 报告。
XML-RPC 可用于发布绕过 edit_css 检查的 customize_changeset 帖子，由 WordPress 安全团队的 Ben Bidner 报告。
Contributor+ 可任意覆盖帖子，由 Anthropic 报告。
attachment_submitbox_metadata() 中缺少 read_post 检查，导致私有父帖子标题泄露，由 HDWSec 报告。
缺少授权检查会导致 Contributor+ 获取草稿/待审核帖子的 slug，由 Jakub Herman 报告。
任何经过身份验证的用户都可以重新设置评论（包括注释）的父级对象，由 Justin Hart、Viridis Security 报告。

感谢以下 WordPress 贡献者

本次版本由 Adam Silverstein、Adrian Duffell、Andrei Draganescu 和 Aaron Jorbin 主导。

没有以下人员的贡献，WordPress 7.1.1 就不可能发布。他们异步协调，将维护和安全修复交付到稳定版本中，这体现了 WordPress 社区的力量与能力。

Aaron Jorbin、abrahamfariaz、Adam Silverstein、Adi Moldovan、Adrian Duffell、Aki Hamano、Alex Concha、Andrea Fercia、andreasca、Andrei Draganescu、Andrew Duthie、Andrew Serong、André Maneiro、annezazu、Anthony White、Arkaprabha Chowdhury、Ashar Fuadi、Azragh、Barry、buffer1024、Chunhui Ouyang、Courtney Robertson、Dagan、Daniel Richards、Daniel Rodriguez、Darshit Rajyaguru、David Biňovec、Deepak Kumar、Dennis Snell、DevSaiful、Dhruvang21、Dominik Schilling、Ehtisham Siddiqui、Ella Van Durpe、Erick Wambua、FahimMurshed、Fernando Tellado、fiocavallari、George Mamadashvili、George Vasiliades、gregbenz、Harish Tewari、Hit Bhalodia、Isabel Brison、Jake Spurlock、Jamie Dąbrowiecki、Jb Audras、Jeffrey Paul、Jeremy Felt、Jiwoon Kim、Joe Dolson、Joe Hoyle、Joe McGill、Joen Asmussen、Johannes Jülg、John Blackbourn、Jon Surrell、Jonathan Desrosiers、Josh、Kamran Abdul Aziz、Khokan Sardar、Kira Schroder、kleisauke、Kushagra Goyal、l1onofjudah、Lance Willett、luksusspokoju、Manzoor Wani、Marco Ciampini、marcs0h、Marin Atanasov、Michael、Mohammad Jangda、mrkenobi、Mukesh Panchal、Nawazkhan Pathan、Nik Tsekouras、Parth Jogi、Pascal Birchler、Paul Biron、Paul Kevan、Peter Wilson、Rafie Muhammad、ramonopoly、Rashed Hossain、Ressl、Riad Benguella、Rudy Faile、Sainath Poojary、Scott Kingsley Clark、Sergey Biryukov、Shail Mehta、Shameem – a11n、siliconforks、Slava Abakumov、Stephen Bernhardt、Sukhendu Sekhar Guria、Ugyen Dorji、Utsav Ladani、vortfu、Weston Ruter、w3bdsgn、wolf45，以及来自 Automattic、Bluehost、GoDaddy、Pantheon 和 WP Engine 的代表。

回合移植

为 courtesy 起见，安全修复将在必要时回合移植到所有有资格接收安全修复的分支（目前截至 4.7）。提醒一下，只有最新版本的 WordPress actively 受到支持。回合移植工作正在进行中，将在准备就绪后发布。

如何参与贡献

如需参与 WordPress 核心开发，请前往 Trac，认领一个工单，并在 #core 频道中参与讨论。需要帮助吗？请查阅《核心贡献者手册》。

感谢 Ehtisham Siddiqui、Lance Willett、Weston Ruter 和 Adam Silverstein 进行校对。