WordPress 7.1.3 维护与安全更新修复 7 项安全问题
WordPress 7.1.3 Maintenance and Security Release
WordPress 7.1.3 作为安全与维护版本发布，包含 7 项安全修复和 4 项错误修复，建议立即更新站点。安全问题涉及存储型 XSS、DoS、二阶 SQL 注入、Author 角色粘性文章权限、私有或未发布文章评论泄露及 Imgur 嵌入 XSS 等；符合条件的旧版本分支也将陆续获得回溯补丁。
原文列出 WordPress 7.1.3 修复的 7 项安全问题及回溯分支范围，可据此识别受影响机制并安排更新。
此安全和维护版本包含 7 项安全修复和 4 项错误修复。
由于这是安全版本，建议您立即更新您的网站。
您可以从 WordPress.org 下载 WordPress 7.1.3，或访问您的 WordPress 仪表板，点击“更新”，然后点击“立即更新”。如果您有支持自动后台更新的网站，更新过程将自动开始。
此版本包含的安全更新
安全团队感谢以下人员和组织负责任地报告漏洞，并允许我们在此次发布中修复这些漏洞：
- Comments 管理页面中存在存储型 XSS，可通过待审核评论利用，由 Trail of Bits 与 OpenAI 合作报告。
WP_Http::make_absolute_url()方法中存在一个 DoS 问题，由 Anthropic 报告- WordPress WXR 导出中存在二阶 SQL 注入，由 Anthropic 报告
- 存在一个漏洞，允许 Author 角色的用户将文章置顶，由 Anthropic 报告
- 未经验证即可披露私密及未发布文章的评论，由 Patchstack 的 Ananda Dhakal 报告
- Imgur 嵌入内容容易受到 XSS 攻击，由 Zhengyu Liu、Jingcheng Yang 和 Gavin Zhong 报告
- 传递给
{status}_{type}钩子的参数可被伪造，可能导致操作名称冲突，由 WordPress 安全团队的 Alex Concha 报告
感谢这些 WordPress 贡献者
此次发布由 Jake Spurlock 主导。
没有以下人员的贡献，WordPress 7.1.3 不可能发布。他们以异步方式协调工作，将维护和安全修复交付至稳定版本，这体现了 WordPress 社区的力量与能力。
Aaron Jorbin, Adam Silverstein, Adi Moldovan, Adrian Duffell, Alex Concha, Arkaprabha Chowdhury, Deepak Kumar, donniam, Ehtisham Siddiqui, Jake Spurlock, Jb Audras, Jeremy Felt, Joe Dolson, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Ken Gagne, Khokan Sardar, Lance Willett, lucatume, marcs0h, Peter Wilson, Paul Kevan, RS Software, Rudy Faile, Sergey Biryukov, siliconforks, smerriman, Stephen Bernhardt, Suryakant Upadhyay, vortfu, webVerts, Weston Ruter, Yogesh Bhutkar
回移植
为 courtesy，所有符合条件的分支（目前截至 4.7）都会在必要时回移植这些安全修复。提醒一下，只有最新版本的 WordPress 获得积极支持。回移植工作正在进行中，将在准备就绪后发布。
如何参与贡献
如需参与 WordPress 核心开发，请前往 Trac，选择一个工单，并加入 #core 频道的讨论。需要帮助吗？请查看《核心贡献者手册》。
来源：WordPress.org 新闻 · https://wordpress.org/news/2026/10/wordpress-7-1-3-maintenance-and-security-release/
部分链接为推广/关联链接。