WordPress 7.1.1 修复了 11 个安全漏洞，包括存储型 XSS 和路径遍历漏洞

原创

ZM
ZM

暗镜

2026年9月24日 06:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

WordPress 发布了 7.1.1 版本，这是一个维护和安全更新，解决了影响核心平台组件、主题、REST API 功能、评论、XML-RPC 和插件管理的 11 个漏洞。此版本还包含 17 个核心错误修复和 19 个区块编辑器错误修复。WordPress 7.1.1 是一个短期维护版本，WordPress 7.2 预计将于 12 月发布。

此次修复最值得关注的问题之一是wpautop()函数中存在的存储型跨站脚本（XSS）漏洞。该漏洞可能允许未经身份验证的访问者通过评论注入恶意脚本内容，前提是网站管理员随后批准了该评论。

存储型 XSS 漏洞对 WordPress 网站来说尤其危险，因为恶意 JavaScript 可能会在管理员、编辑或查看受影响内容的访问者的浏览器中执行。

根据目标用户的权限，成功利用该漏洞可能导致会话被盗、未经授权的管理操作、内容被篡改，或重定向到攻击者控制的页面。

此次更新还修复了一个影响某些支持自定义头部主题的存储型 XSS 漏洞。WordPress 还修复了一个 HTML API 问题，该问题会导致 set\\_modifiable\\_text() 函数允许攻击者通过突然关闭的字符串序列来转义 HTML 注释。

另一个问题涉及精心构造的URL，这些URL可以自动安装并预览WordPress.org上已失效的主题。虽然该安全公告并未披露完整的漏洞利用细节，但修复方案消除了一条可能被定向攻击利用的意外主题管理途径。

WordPress 7.1.1 修复了 Anthropic 报告的 WP REST 模板控制器中存在的已认证路径遍历漏洞。路径遍历漏洞可能使攻击者能够使用类似 ../ 的序列操纵文件路径，从而在应用程序控制不足的情况下，获得对非预期文件或目录的访问权限。

Anthropic 还报告了一个漏洞，该漏洞允许权限较低的已认证用户覆盖其预期授权范围之外的帖子，从而对多作者网站的编辑完整性构成风险。

其他与授权相关的修复包括一个漏洞，该漏洞允许 XML-RPC 请求发布 customize\_changeset 文章，同时绕过对 edit\_css 功能的检查。WordPress 还修复了一个问题，该问题允许站点管理员通过网络激活已安装的仅限网络使用的插件。

此次更新修复了 attachment\_submitbox\_metadata() 函数中缺少 read\_post 权限检查的问题。该缺陷可能导致通过附件元数据泄露私有父帖子的标题。

此外，WordPress 还修复了一个缺失的授权检查，该检查可能导致草稿或待发布文章的别名泄露给拥有“贡献者”及以上权限的用户。虽然这些文章别名看似风险很低，但它们可能会泄露计划中的文章、活动名称、产品公告或敏感的编辑信息。

此外，一个漏洞允许任何已认证用户重新设置评论的父级，包括内部备注。这可能会影响审核流程，并可能导致讨论上下文泄露或丢失。