WordPress 4.7.5 版本发布,修复 6 个安全问题
局长 2017年05月18日

WordPress 4.7.5 版本发布,修复 6 个安全问题

局长 局长 发布于2017年05月18日 收藏 4 评论 8

330元/年抢阿里云香港云服务器,节省80%出海成本>>>  

昨天,WordPress 开发团队发布了 WordPress 4.7.5 版本,修复了 6 个安全问题。所有使用 WordPress 4.7 版本的网站,将会自动升级到该版本。低于 WordPress 4.7 版本的用户,请手动升级到该坂本。

WordPress 4.7.5 修复这 6 个安全漏洞,是由 5 个方面分别向 WordPress 安全团队报告的。这些漏洞包括:

  • HTTP 类中存在的重定向验证不足(Insufficient redirect validation in the HTTP class )

  • XML-RPC 接口对文章元数据的不当处理(Improper handling of post meta data values in the XML-RPC API)

  • XML-RPC 接口对文章元数据缺少检测能力(Lack of capability checks for post meta data in the XML-RPC API)

  • 在文件系统信任凭据对话框中发现跨站点请求伪造漏洞(CRSF)(A Cross Site Request Forgery (CRSF) vulnerability was discovered in the filesystem credentials dialog)

  • 试图上传超大文件时发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered when attempting to upload very large files)

  • 主题自定义面板发现跨站点脚本(XSS)漏洞(A cross-site scripting (XSS) vulnerability was discovered related to the Customizer)

这其中有些安全漏洞报告来自于 HackerOne 网站。在最近对 HavkerOne 的采访中,WordPress 安全团队的负责人 Aaron Campbell 说,该团队在启动了bug赏金计划之后,安全漏洞报告数量达到了一个峰值。

WordPress 团队在 HackerOne 网站上开通了自己的官方账户,并鼓励用户通过该网站负责任地报告 WordPress 安全漏洞,以加快对安全漏洞的处理进程。同时,WordPress 团队启用赏金计划,汇报这些报告安全漏洞的用户,赏金范围在 150 ~ 1337 美元之间。

如果今后用户报告 WordPress 安全漏洞仍然非常频繁的话,WordPress 团队将会加快安全升级版本的发布频率。在比特率勒索病毒爆发之后,WordPress 团队对于网站安全的问题愈加重视。

已经安装了 WordPress 4.7 版本的用户,只要你没有手动关闭自动更新功能,你的网站都会自动升级到 4.7.5 版本。如果你还在使用 WordPress 4.7 之前的版本,请务必手动更新到此最新版本。

手动升级 WordPress 非常简单,你只需要在后台点击更新按钮,就可以完成自动升级。当然,在升级之前,请不要忘记做好备份。

尚未安装 WordPress 的新用户,你可以直接点击这里下载 WordPress 最新版本进行安装。

来源:WPChina 作者:WordPress中文网

>>>【全民狂欢,评论有礼】5月15日-31日评论每日更新的“新闻资讯和软件更新资讯”,评论点赞数超过 20 的可登上每周更新的“源资讯”和“软件周刊”两大栏目,点赞数超过 50 的还将获得 5 活跃积分奖励和开源中国定制好礼。详情

本站文章除注明转载外,均为本站原创或编译。欢迎任何形式的转载,但请务必注明出处,尊重他人劳动共创开源社区。
转载请注明:文章转载自 开源中国社区 [http://www.oschina.net]
本文标题:WordPress 4.7.5 版本发布,修复 6 个安全问题
分享
评论(8)
最新评论
0
牛逼☀🐮☀☀🐮☀
0

引用来自“eechen”的评论

XSS注入是Web应用的高频漏洞,一不小心就中招,必须警惕.
function io_html($str) {
  return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}
$xss = "');confirm('"; // 攻击者尝试注入对话框confirm
<a href="javascript:alert('<?php echo io_html($xss); ?>');">XSS</a>
href="javascript:alert('');confirm('');"
可见上述情况可以产生XSS注入,所以要尽量避免使用这样的写法.
htmlspecialchars也不是万能膏药,在这种场景也会导致XSS注入.
也就是用户输入的不受信任的内容(如字符串),PHP最好不要直接赋值给JS表达式.
如果一定要在PHP模板中赋值用户输入给JS表达式,最好进行json编码:
function io_json($var) {
  return json_encode($var, JSON_HEX_TAG|JSON_HEX_APOS|JSON_HEX_QUOT|JSON_HEX_AMP|JSON_UNESCAPED_UNICODE);
}
$xss = "');confirm('";
<a href='javascript:alert(<?php echo io_json($xss); ?>);'>XSS</a>
href='javascript:alert("\u0027);confirm(\u0027");' // confirm无法执行
这个 @eechen 就是个笑话,天天要喊着吊打,结果现在挂在树上惨遭吊打,屁都不敢放一个,又一个神棍被拉下神坛 --via FalconChen . 有链接有真相: https://www.oschina.net/question/253880_2236467
0
XSS注入是Web应用的高频漏洞,一不小心就中招,必须警惕.
function io_html($str) {
  return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}
$xss = "');confirm('"; // 攻击者尝试注入对话框confirm
<a href="javascript:alert('<?php echo io_html($xss); ?>');">XSS</a>
href="javascript:alert('');confirm('');"
可见上述情况可以产生XSS注入,所以要尽量避免使用这样的写法.
htmlspecialchars也不是万能膏药,在这种场景也会导致XSS注入.
也就是用户输入的不受信任的内容(如字符串),PHP最好不要直接赋值给JS表达式.
如果一定要在PHP模板中赋值用户输入给JS表达式,最好进行json编码:
function io_json($var) {
  return json_encode($var, JSON_HEX_TAG|JSON_HEX_APOS|JSON_HEX_QUOT|JSON_HEX_AMP|JSON_UNESCAPED_UNICODE);
}
$xss = "');confirm('";
<a href='javascript:alert(<?php echo io_json($xss); ?>);'>XSS</a>
href='javascript:alert("\u0027);confirm(\u0027");' // confirm无法执行
0

引用来自“徐承恩”的评论

wordpress代码结构乱的一塌糊涂
@徐承恩 哪里乱了啊?
0
wordpress代码结构乱的一塌糊涂
0
升级升级
0
什么叫重定向验证不足啊?
0
自从在阿里云装了wordpress,周周都报要装补丁。。。

相关资讯

最新资讯
热门资讯
顶部