WordPress 更新漏洞披露计划指南

提升 WordPress 的安全性，既要主动发现并修复漏洞，也要确保我们通过负责任披露收到的报告集中于具有实际安全影响的问题。

作为核心安全计划（Core Security Initiative）下更广泛工作的一部分，安全团队正在加大对安全发布流程的投入，处理现有调查结果，并扩大主动漏洞研究和工具方面的工作。与此同时，我们正在更新漏洞披露计划指南，以便我们的时间和安全研究人员的时间能够集中于具有明确且重大影响的真实漏洞。

对于适用范围中的任何资产（WordPress Core 和 Gutenberg 除外），通常情况下，需要管理员才能授予的角色所涉及的问题将不再符合资格，除非这些问题能证明存在高危权限提升和安全影响。这包括 Contributor 等角色。一种已验证身份的角色能够执行通常仅限另一种已验证身份角色执行的操作，这种情况本身通常也不足以满足资格，除非它导致高影响的权限提升。WordPress Core 和 Gutenberg 暂时将继续遵循我们现有的资格指南。有关更多示例，请参阅我们的计划政策页面。

我们鼓励研究人员关注具有明确安全影响的漏洞，尤其是可在无需身份验证的情况下或由 Subscribers 等低权限用户利用的高危问题。

负责任披露仍是 WordPress 安全工作的重要组成部分，问题可在此报告。结合项目内部为主动发现和解决漏洞而开展的工作，将报告集中于影响更大的问题，将帮助我们在调查结果上投入更多时间，从而切实提升 WordPress 及其生态系统的安全性。