WordPress 发布 7.0.3 安全更新，修复核心程序中的 12 个安全漏洞。其中包括多个跨站脚本攻击漏洞、服务器端请求伪造、信息泄露、多站点权限提升，以及一个可能在特定条件下进一步导致远程代码执行的登录页面漏洞。
在本次修复的问题中，登录页面预认证反射型 XSS 漏洞的严重性评分达到 8.9，属于高危漏洞。由于攻击者不需要先拥有 WordPress 账户，所有仍在使用受影响版本的网站都应认真对待此次更新。
WordPress 已将相关修复回移至 4.7 及之后的旧版本分支。无论网站是否使用 WordPress 7.0，只要当前版本仍在官方提供安全更新的范围内，都应检查后台是否出现对应更新，并尽快完成升级。
WordPress 7.0.3修复了哪些安全问题？
WordPress 官方对本次 12 个漏洞的说明较为简短，涉及的问题包括：
- 文章日期区块存在 Contributor 及以上角色可触发的存储型 XSS 漏洞；
- 文章内容区块存在 Contributor 及以上角色可触发的存储型 XSS 漏洞；
- 最新评论区块可能泄露密码保护文章中的评论；
- 邮箱地址确认流程可以被绕过；
- Author 及以上角色可通过绕过安全 CSS 属性过滤器注入 CSS；
- 文章中的表情符号设置元素存在 Contributor 及以上角色可触发的存储型 XSS；
- 开启用户注册的 WordPress 多站点网络存在权限提升问题，用户可能借此创建新站点；
- URL 验证存在服务器端请求伪造问题，可能允许请求链路本地地址范围；
- 登录页面存在预认证反射型 XSS，在满足额外条件时可能进一步导致 PHP 代码执行；
- 评论 Feed 可能泄露 Notes 信息；
- 文章别名可能被枚举；
- 用户数量较多的网站中，快速编辑功能存在 Contributor 及以上角色可触发的存储型 XSS。
这些漏洞的利用条件和影响范围并不完全相同。例如，多项存储型 XSS 要求攻击者至少拥有 Contributor 或 Author 权限，而登录页面的预认证反射型 XSS 不要求攻击者提前拥有 WordPress 账户。
最需要关注的是登录页面XSS漏洞
本次更新中最受关注的是登录页面预认证反射型 XSS 漏洞。该漏洞的严重性评分为 8.9，属于高危级别。
XSS，即跨站脚本攻击，通常是指攻击者设法让恶意脚本出现在可信网站的输出中。当用户浏览相关页面或执行特定操作时，浏览器可能把脚本当作网站自身内容运行，进而接触 Cookie、会话令牌或页面中的敏感信息。
“预认证”表示攻击者发起攻击前不需要登录 WordPress，也不需要事先拥有网站账户。不过，这并不意味着漏洞可以在任何情况下自动转化为远程代码执行。
WordPress 官方安全仓库的说明指出，攻击者需要制作恶意的第三方网站，并通过社会工程诱导目标用户进行明确交互。在满足这些额外条件时，该漏洞才可能进一步升级为远程代码执行。换言之，漏洞影响严重，但利用过程仍受到用户交互等条件限制。
WordPress 7.0.3 已包含修复。为了保护仍在使用旧分支的网站，官方还将补丁回移至 WordPress 4.7 及之后的版本分支。
多站点权限提升漏洞影响哪些网站？
WordPress 7.0.3 还修复了一项多站点网络权限提升问题。该问题影响启用了用户注册的 WordPress Multisite，可能允许用户在未获得相应授权的情况下创建新站点。
普通单站点 WordPress 网站不属于这一特定场景。以下类型的网站则应重点检查：
- 高校或教育机构的多站点网络；
- 为部门、项目或成员提供子站点的平台；
- 开放用户注册的社区网络；
- 向客户提供站点创建功能的平台；
- 其他允许账户自助注册的 Multisite 环境。
即使当前没有发现异常站点，也应先升级，再检查最近创建的网站、用户角色和注册记录。
哪些WordPress网站需要尽快升级？
由于 WordPress 7.0.3 属于安全版本，本次修复又包含无需预先登录即可触发的高危 XSS，所有受影响的 WordPress 网站都应尽快更新，而不应只等待例行维护窗口。
以下网站应优先处理：
- 仍在运行旧版 WordPress 核心的网站；
- 没有启用核心安全自动更新的网站；
- 拥有多个 Contributor、Author 或 Editor 账户的内容站；
- 开放用户注册的 WordPress 多站点网络；
- WooCommerce 商城和会员网站；
- 企业官网、新闻站及高流量内容站；
- 管理员经常通过邮件或外部链接进入登录页面的网站；
- 缺少外部防火墙或安全监控的网站。
此次更新修复的是 WordPress 核心漏洞。安装安全插件或使用 CDN 防火墙可以提供额外防护，但不能代替核心升级。
升级前应该做什么？
安全更新应尽快安装，但关键业务网站仍应保留基本的升级流程。
1. 创建完整备份
备份数据库、wp-content、主题、插件、上传文件和重要配置，并确认备份可以恢复。不要只看到“备份完成”提示就结束检查。
2. 记录当前运行环境
记录 WordPress、PHP、主题和关键插件版本。WooCommerce 网站还应记录支付、物流、会员和订阅扩展版本。
3. 优先在暂存环境测试
如果网站使用大量定制代码、旧主题或复杂业务插件，可以先在暂存环境安装对应安全更新，检查后台、前台和业务流程。
4. 检查自动更新结果
WordPress 安全版本通常会通过自动更新机制推送，但站长不能只假定更新一定成功。应进入：
WordPress后台 → 仪表盘 → 更新确认核心版本或当前分支对应的安全维护版本已经安装。
5. 升级后检查日志和账户
更新完成后，检查 PHP 错误日志、安全日志、管理员账户、最近新增用户和多站点网络中的站点创建记录。如果网站此前出现可疑跳转、异常管理员或未知文件，仅升级核心并不足以完成处置，还需要继续排查是否已经受到入侵。
安全更新后需要验证哪些功能？
完成更新后，至少检查：
- 网站首页和核心内容页；
- WordPress 后台登录；
- 文章与页面编辑；
- 区块编辑器和快速编辑；
- 评论及评论 Feed；
- 用户注册与邮箱确认；
- REST API 和站点健康；
- 表单提交及通知邮件；
- 缓存和 CDN；
- 定时任务；
- WooCommerce 购物车、结账、支付和订单邮件；
- 多站点用户注册与新站点创建权限。
如果网站在更新后出现异常，不应直接恢复到含有已知漏洞的旧核心版本。可以先确认问题来自主题、插件还是缓存，再安装官方提供的兼容更新或联系相关开发者。
分类：新闻资讯
标签：wordpress