WordPress 4.7.5 版本发布,修复 6 个安全问题

昨天,WordPress 开发团队发布了 WordPress 4.7.5 版本,修复了 6 个安全问题。所有使用 WordPress 4.7 版本的网站,将会自动升级到该版本。低于 WordPress 4.7 版本的用户,请手动升级到该坂本。

WordPress 4.7.5 修复这 6 个安全漏洞,是由 5 个方面分别向 WordPress 安全团队报告的。这些漏洞包括:

  • HTTP 类中存在的重定向验证不足(Insufficient redirect validation in the HTTP class )

  • XML-RPC 接口对文章元数据的不当处理(Improper handling of post meta data values in the XML-RPC API)

  • XML-RPC 接口对文章元数据缺少检测能力(Lack of capability checks for post meta data in the XML-RPC API)

  • 在文件系统信任凭据对话框中发现跨站点请求伪造漏洞(CRSF)(A Cross Site Request Forgery (CRSF) vulnerability was discovered in the filesystem credentials dialog)

  • 试图上传超大文件时发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered when attempting to upload very large files)

  • 主题自定义面板发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered related to the Customizer)

这其中有些安全漏洞报告来自于 HackerOne 网站。在最近对 HavkerOne 的采访中,WordPress 安全团队的负责人 Aaron Campbell 说,该团队在启动了bug赏金计划之后,安全漏洞报告数量达到了一个峰值。

WordPress 团队在 HackerOne 网站上开通了自己的官方账户,并鼓励用户通过该网站负责任地报告 WordPress 安全漏洞,以加快对安全漏洞的处理进程。同时,WordPress 团队启用赏金计划,汇报这些报告安全漏洞的用户,赏金范围在 150 ~ 1337 美元之间。

如果今后用户报告 WordPress 安全漏洞仍然非常频繁的话,WordPress 团队将会加快安全升级版本的发布频率。在比特率勒索病毒爆发之后,WordPress 团队对于网站安全的问题愈加重视。

已经安装了 WordPress 4.7 版本的用户,只要你没有手动关闭自动更新功能,你的网站都会自动升级到 4.7.5 版本。如果你还在使用 WordPress 4.7 之前的版本,请务必手动更新到此最新版本。

手动升级 WordPress 非常简单,你只需要在后台点击更新按钮,就可以完成自动升级。当然,在升级之前,请不要忘记做好备份。

尚未安装 WordPress 的新用户,你可以直接点击这里下载 WordPress 最新版本进行安装。

来源:WPChina 作者:WordPress中文网

>>>【全民狂欢,评论有礼】5月15日-31日评论每日更新的“新闻资讯和软件更新资讯”,评论点赞数超过 20 的可登上每周更新的“源资讯”和“软件周刊”两大栏目,点赞数超过 50 的还将获得 5 活跃积分奖励和开源中国定制好礼。详情

Read original article:

WordPress 4.7.5 版本发布,修复 6 个安全问题