WordPress Core 5.4.2 刚刚发布。由于此版本被标记为安全和错误修复的合并更新，我们建议尽快更新。话虽如此，大多数安全修复程序本身都是针对需要特定情况才能利用的漏洞。此版本的所有版本总共包含 6 个安全修复程序，其中 3 个针对 XSS（跨站点脚本）漏洞。 Wordence 免费版和高级版都具有强大的内置 XSS 保护功能，可防止潜在的利用这些漏洞的行为。
每个安全问题的细分一个 XSS 问题，其中具有低权限的经过身份验证的用户可以将 JavaScript 添加到块中的帖子Editor
此漏洞允许攻击者通过操纵嵌入式 iFrame 的属性将 JavaScript 注入到帖子中。具有 edit_posts能力的用户可以利用此功能，这意味着在大多数配置中具有 Contributor 或更高角色的用户。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47947/
//core.trac.wordpress.org/changeset/47947/
这个问题是由 Sam Thomas 发现并报告的 ( jazzy2fives）。
XSS 问题，具有上传权限的经过身份验证的用户能够将 JavaScript 添加到媒体文件
此漏洞允许 有可能攻击者可以将 JavaScript 注入到已上传媒体文件的“描述”字段中。具有此upload_files能力的用户可以利用此功能，这意味着在大多数配置中具有“作者”角色或更高级别的用户。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47948/
//core.trac.wordpress.org/changeset/47948/
Luigi 发现并报告了这个问题 – (gubello.me)
公共重定向问题wp_validate_redirect()
对于这个错误，wp_validate_redirect 函数没有充分清理提供给它的 URL。这使得在某些情况下，攻击者有可能制作指向受影响站点的链接，将访问者重定向到恶意外部站点。这不需要特定的功能，但通常需要使用社会工程学或插件或主题中的单独漏洞才能利用。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47949/
//core.trac.wordpress.org/changeset/47949/
span>
发现并解决了这个问题由 WordPress 安全团队的 Ben Bidner 报告。
通过主题上传验证的 XSS 问题
此缺陷使攻击者有可能将 JavaScript 注入损坏的主题样式表在名称中，如果另一个用户访问该站点的外观-> 主题页面，就会执行该缺陷。具有 install_themes 或 edit_themes 功能的用户可以利用此功能，在大多数配置中只有管理员。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47950/
//core.trac.wordpress.org/changeset/47950/
Nrimo Ing Pandum 发现并报告了这个问题
问题之一set-screen-option Elevated privileges can be abuse through plugins
对于此缺陷，set-screen-option 攻击者可能会使用错误使用过滤器的插件来保存任意或敏感选项，从而获得管理访问权限。我们目前不知道有任何插件容易受到此问题的影响。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47951/
//core.trac.wordpress.org/changeset/47951/
这个问题是由 Simon Scannell 发现并报告的RIPS Technologies
在某些情况下，受密码保护的帖子和页面上的评论有问题
对于此漏洞，受密码保护的 An对受保护帖子的评论摘录。
有问题的变更集是：https://span>
//core.trac.wordpress.org/changeset/47984/
//core.trac.wordpress.org/changeset/47984/
此问题由 Carolina Nymark 发现并报告
注意：这与以下问题无关，在该问题中，未经审核的垃圾评论可能会短暂地出现在搜索中引擎，可以索引。
我该怎么办？
这些漏洞中的大多数似乎只能在有限的情况下或由受信任的用户利用，但我们建议尽快更新。攻击者可能会找到更容易利用它们的方法，或者发现这些漏洞的研究人员可能会发布允许更简单利用的概念验证代码。这是 WordPress 的次要版本，因此大多数网站会自动更新到新版本。
结论
我们要感谢 WordPress 核心团队和发现并负责任地报告这些漏洞的研究人员，他们漏洞使 WordPress 更安全。
您可以在本页找到WP 5.4.2 发布的官方公告。如果您有任何问题或意见，请随时在下方发表，我们将尽最大努力及时回复。如果您是包括上述工作的研究人员之一，并希望提供更多详细信息或更正，我们欢迎您提出意见。
