WordPress пусна версия 7.1.3 на 6 октомври 2026 г., като отстранява уязвимости, свързани с междинен скриптинг (cross-site scripting), SQL инжекции, разкриване на информация и други слабости в сигурността.
Проектът препоръчва незабавно обновяване, като са налични корекции за сигурност и за по-стари засегнати клонове. Активно поддържана остава само най-новата версия на WordPress.
Документацията към пуснатата версия изброява седем проблема със сигурността, въпреки че в уводното изречение се споменава „една корекция за сигурност“. Тя не предоставя CVE идентификатори, оценки за сериозност или потвърдени подробности за експлоатация. В резултат на това критичната формулировка в заглавието не трябва да се тълкува като официална класификация за степен на сериозност за всяка уязвимост.
Една от уязвимостите съдържа съхранен междинен скриптинг (stored cross-site scripting) на административната страница за коментари. Чакащите коментари осигуряват повърхността за атака, като потенциално излагат администраторите на риск, когато преглеждат изпратеното съдържание.
Томас Шофоан (Thomas Chauchefoin) от Trail of Bits съобщава за този проблем. В разкритата информация не се описват зловредният код или точните условия, необходими за успешна експлоатация.
Отделна слабост, свързана с междинен скриптинг, засяга вграденото съдържание от Imgur. WordPress благодари на Чъню Лю (Zhengyu Liu), Дзинчън Ян (Jingcheng Yang) и Гавин Джонг (Gavin Zhong) за съобщаването ѝ.
Тези констатации засягат различни канали за съдържание: модерация на коментари и вградени медии. И двете правят обновяването от съществено значение за сайтове, които обработват потребителско съдържание или показват материали от външни източници.
Уязвимости в WordPress
Anthropic съобщава за SQL инжекция от втори ред (second-order SQL injection) при WXR експортирането в WordPress. Документацията посочва компонента за експортиране, но не обяснява последователността на инжектиране, необходимите права или въздействието върху базата данни.
Поради това администраторите не трябва да предполагат, че проблемът осигурява неограничен достъп до базата данни или че всяка операция по експортиране е уязвима. Друга уязвимост позволява на неудостоверени потребители разкриването на коментари, свързани с лични и непубликувани публикации.
Съобщена от Ананда Дхакал (Ananda Dhakal) от Patchstack, тази слабост засяга информация, която се очаква да остане извън публичен достъп. В съобщението коментарите се посочват като изложени данни, но не се твърди, че атакуващите могат да извлекат цели лични публикации.
Anthropic съобщава и за слабост, която позволява на потребители с роля „Автор“ (Author) да правят публикации закачени (sticky). Това представлява проблем с оторизацията, свързан с правата за публикуване.
Отделно Алекс Конча (Alex Concha) от екипа за сигурност на WordPress съобщава за параметри, подлежащи на подправяне, предавани към хука {status}_{type}, които могат да доведат до дублиране на имена на действия (action name collisions). Съобщението оставя по-широките последици от експлоатацията неуточнени.
Проблем, водещ до отказ от обслужване (denial-of-service), засяга метода WP_Http::make_absolute_url(). Anthropic съобщава и за тази констатация, но WordPress не предоставя модел на заявките, измервания на консумацията на ресурси или подробни предварителни изисквания за атака в бележките към версията.
Администраторите могат да инсталират WordPress 7.1.3 от таблото за управление (Dashboard > Updates) или да го изтеглят от официалната страница с версии. WordPress изрично препоръчва незабавно обновяване на сайтовете, тъй като това е издание, свързано със сигурността. По-старите засегнати клонове също получават тези корекции за сигурност, но това не променя заявената политика за поддръжка на проекта.
Коригираните файлове обхващат административния JavaScript, обработката на експорт, REST публикациите, персонализирането, HTTP обработката, вграденото съдържание, заявките и операциите с публикации. Не са променяни пакети.