WordPress Core 5.4.2版本刚刚发布。由于此版本被标记为安全和错误修复的合并更新，因此我们建议尽快进行更新。话虽如此，大多数安全修复程序本身都是针对需要特定情况才能利用的漏洞的。此版本的所有版本总共包含6个安全修复程序，其中3个针对XSS（跨站点脚本）漏洞。Wordence的免费版和高级版都有强大的内置XSS保护，可以防止潜在利用这些漏洞。
每个安全问题的细分
一个XSS问题，具有低特权的经过身份验证的用户可以在块编辑器中将JavaScript添加到帖子中
这个缺陷使攻击者可以通过操纵Embedded iFrame的属性将JavaScript注入帖子中。具有该edit_posts功能的用户可以利用此功能，这意味着在大多数配置中具有贡献者角色或更高级别的用户。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47947/
此问题由Sam Thomas（jazzy2fives）发现并报告。
XSS问题，具有上传权限的经过身份验证的用户能够将JavaScript添加到媒体文件
此缺陷使攻击者有可能将JavaScript注入到上载媒体文件的“描述”字段中。具有此upload_files功能的用户可以利用此功能，这意味着在大多数配置中具有“作者”角色或更高级别的用户。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47948/
Luigi发现并报告了此问题–（gubello.me）
的公开重定向问题 wp_validate_redirect()
对于此缺陷，该wp_validate_redirect函数无法充分清理提供给它的URL。这样，在某些情况下，攻击者就有可能制作到受影响站点的链接，该链接会将访问者重定向到恶意外部站点。这不需要特定的功能，但是通常需要使用社交工程或插件或主题中的单独漏洞才能利用。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47949/
WordPress安全团队的Ben Bidner发现并报告了此问题。
通过主题上传验证的XSS问题
此缺陷使攻击者有可能将JavaScript注入破碎主题的样式表名称中，如果另一个用户访问了站点的Appearance-> Themes页面，则将执行该缺陷。具有install_themes或edit_themes功能的用户可以利用此功能，只有大多数配置中的管理员才能使用。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47950/
Nrimo Ing Pandum发现并报告了此问题
其中一个问题set-screen-option可以通过插件导致提升权限被滥用
对于此缺陷，set-screen-option攻击者可能会潜在地使用错误地使用过滤器保存任意或敏感选项的插件来获得管理访问权限。我们目前不知道任何容易受到此问题影响的插件。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47951/
RIPS Technologies的Simon Scannell发现并报告了此问题
在某些情况下可能显示受密码保护的帖子和页面的评论的问题
对于此漏洞，在显示“最近评论”窗口小部件或使用具有类似功能的插件或主题的网站上可能会看到受密码保护的帖子的评论摘录。
有问题的变更集是：https :
//core.trac.wordpress.org/changeset/47984/
此问题由Carolina Nymark发现并报告
注意：这与以下问题无关，在该问题中，未经审核的垃圾邮件评论可以短暂地显示在搜索引擎中并可以将其编入索引。
我该怎么办？
这些漏洞中的大多数似乎只能在有限的情况下或由受信任的用户利用，但我们建议尽快进行更新。攻击者可能会找到更轻松地利用它们的方法，或者发现这些漏洞的研究人员可能会发布允许更简单利用的概念证明代码。这是WordPress的次要版本，因此大多数网站将自动更新到新版本。
结论
我们要感谢WordPress核心团队和发现并负责任地报告了这些漏洞的研究人员，这些漏洞使WordPress更加安全。
您可以在此页面上找到WP 5.4.2发行版的正式公告。如果您有任何疑问或意见，请不要犹豫，将其发布在下面，我们将尽力及时答复。如果您是其中包括上述工作的研究人员之一，并且想提供更多细节或更正，我们欢迎您提出意见。