1. 论坛系统升级为Xenforo,欢迎大家测试!
    排除公告

WordPress 4.7.5 版本发布

本帖由 lemp2017-05-20 发布。版面名称:源码讨论

标签:
  1. lemp

    lemp Member

    注册:
    2006-11-25
    帖子:
    30
    赞:
    0
    昨天,WordPress 开发团队发布了 WordPress 4.7.5 版本,修复了 6 个安全问题。所有使用 WordPress 4.7 版本的网站,将会自动升级到该版本。低于 WordPress 4.7 版本的用户,请手动升级到该坂本。

    WordPress 4.7.5 修复这 6 个安全漏洞,是由 5 个方面分别向 WordPress 安全团队报告的。这些漏洞包括:

    • HTTP 类中存在的重定向验证不足(Insufficient redirect validation in the HTTP class )

    • XML-RPC 接口对文章元数据的不当处理(Improper handling of post meta data values in the XML-RPC API)

    • XML-RPC 接口对文章元数据缺少检测能力(Lack of capability checks for post meta data in the XML-RPC API)

    • 在文件系统信任凭据对话框中发现跨站点请求伪造漏洞(CRSF)(A Cross Site Request Forgery (CRSF) vulnerability was discovered in the filesystem credentials dialog)

    • 试图上传超大文件时发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered when attempting to upload very large files)

    • 主题自定义面板发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered related to the Customizer)
    这其中有些安全漏洞报告来自于 HackerOne 网站。在最近对 HavkerOne 的采访中,WordPress 安全团队的负责人 Aaron Campbell 说,该团队在启动了bug赏金计划之后,安全漏洞报告数量达到了一个峰值。

    WordPress 团队在 HackerOne 网站上开通了自己的官方账户,并鼓励用户通过该网站负责任地报告 WordPress 安全漏洞,以加快对安全漏洞的处理进程。同时,WordPress 团队启用赏金计划,汇报这些报告安全漏洞的用户,赏金范围在 150 ~ 1337 美元之间。

    如果今后用户报告 WordPress 安全漏洞仍然非常频繁的话,WordPress 团队将会加快安全升级版本的发布频率。在比特率勒索病毒爆发之后,WordPress 团队对于网站安全的问题愈加重视。

    已经安装了 WordPress 4.7 版本的用户,只要你没有手动关闭自动更新功能,你的网站都会自动升级到 4.7.5 版本。如果你还在使用 WordPress 4.7 之前的版本,请务必手动更新到此最新版本。

    手动升级 WordPress 非常简单,你只需要在后台点击更新按钮,就可以完成自动升级。当然,在升级之前,请不要忘记做好备份。
     
  2. 和创财税

    和创财税 Member

    注册:
    2017-08-21
    帖子:
    122
    赞:
    0