WordPress 7.1.4 发布安全更新，修复远程代码执行与多项 XSS

本次安全发布包含针对多个问题的修复。

由于这是一个安全版本，建议您立即更新您的站点。

您可以从 WordPress.org 下载 WordPress 7.1.4，也可以访问您的 WordPress 管理后台，点击“更新”，然后点击“立即更新”。如果您的站点支持自动后台更新，更新过程将自动开始。
WordPress 7.1.4 是一个短周期版本。下一个主要版本将是 7.2，目前计划于 December 8th 发布。

有关更多信息，请访问 WordPress 7.1.4 HelpHub 站点。

本次发布包含的安全更新

安全团队谨向以下人员和机构致谢，感谢他们负责任地报告漏洞，并使这些漏洞得以在本次发布中得到修复：

WordPress 升级流程中的一个缺陷，在升级窗口期内可能导致远程代码执行，由 Umut Bayram 报告。
利用 specially crafted 区块标记实施存储型 XSS，由 Rafie Muhammad（Awesome Motive, Inc.）报告。
隐私数据删除请求的创建方式可能导致存储型 XSS，由 Anthropic 报告。
Interactivity API 中的多个存储型 XSS 问题，由 VietSunshine Cyber Security 的 AnC 和 DatNLQ、rekter0 和 Anas cherni、Marcel Karlsson（whoismarcel），以及 WordPress 安全团队的 Weston Ruter、Jon Surrell、Alex Concha 和 Luis Herranz 独立发现。
Interactivity API 中的一个存储型拒绝服务问题，由 WordPress 安全团队的 Jon Surrell 报告。
Customizer 的选择性刷新功能中存在存储型 XSS，由 Rafie Muhammad（Awesome Motive, Inc.）报告。
分类区块中存在存储型 XSS，由 WordPress 安全团队的 Ben Bidner 报告。
精心构造的用户登录信息可能导致存储型 XSS，由 Anthropic 报告。
未发布的自定义器变更集可能会被未认证用户发现，由 Antonio Lorensius Silaban 报告。
播放列表和图片区块中存在存储型 XSS，由 WordPress 安全团队的 Ben Bidner 报告。
core/comments-pagination-next 和 core/comments-pagination-previous 区块中存在存储型 XSS，由 WordPress 安全团队的 Alex Concha 报告。
特权用户可以读取备注，即使他们无权编辑该备注所附的文章，由 WordPress 安全团队的 Ramon 报告。
由于 eMudhra 的证书被吊销，捆绑的根证书已更新。

感谢这些 WordPress 贡献者

本次发布由 Aaron Jorbin 和 Nik Tsekouras 主导。没有以下人员的贡献，WordPress 7.1.4 就不可能发布：

Aaron Jorbin, Adam Silverstein, Alex Concha, Andrew Duthie, Andrew Serong, David Arenas, Dennis Snell, Ella Van Durpe, George Mamadashvili, Isabel Brison, Jake Spurlock, Jb Audras, Jeremy Felt, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Kira Song,Lance Willett, luisherranz, Marco Ciampini, marcs0h, Marin Atanasov, Mario Santos, Miguel Fonseca, Nik Tsekouras, Peter Wilson, ramonopoly, Rudy Faile, umut3806, Weston Ruter

回移植

为提供便利，这些安全修复已回移植到所有符合接收安全修复条件的分支（目前截至 4.7）。提醒一下，只有最新版本的 WordPress 正在受到积极支持。回移植工作正在进行中，并将在准备就绪后发布。

WordPress 7.2 Beta 3 也已发布，其中包含所有适用的修复。