「WordPress 7.1.4」が公開、リモートコード実行や多数のXSSを修正

「WordPress 7.1.4」のリリース告知

　「WordPress」の開発チームは10月28日、「WordPress 7.1.4」をリリースした。ブログシステム「WordPress」のセキュリティリリースで、速やかなアップデートが推奨されている。

　公式のリリース告知で明らかにされているセキュリティ修正は、以下のとおり。CVE番号や深刻度の記載はない。

• アップデート処理の弱点により、アップデート中にリモートコード実行につながるおそれがある問題
• 細工したブロックマークアップによる格納型XSS（クロスサイトスクリプティング）
• 個人データ消去リクエストを悪用した格納型XSS
• 「Interactivity API」における複数の格納型XSS
• 「Interactivity API」における格納型のDoS（サービス拒否）
• カスタマイザーの選択的リフレッシュにおける格納型XSS
• 「カテゴリー」ブロックにおける格納型XSS
• 細工したユーザー名（ログイン名）による格納型XSS
• 未公開のカスタマイザーの変更セットを、認証なしで見つけられてしまう問題
• 「プレイリスト」ブロックと「画像」ブロックにおける格納型XSS
• 「core/comments-pagination-next」「core/comments-pagination-previous」ブロックにおける格納型XSS
• 投稿を編集する権限のない特権ユーザーが、その投稿に付けられたノートを読めてしまう問題
• 「eMudhra」の証明書失効にともなう、同梱のルート証明書の更新

　このうち、個人データ消去リクエストとユーザー名を悪用した格納型XSSの2件は、米Anthropicから報告されたという。

　「WordPress」は現在、公式サイト「wordpress.org」からダウンロード可能。すでに運用中の場合は、ダッシュボードの［更新］ページからアップデートできる。自動バックグラウンド更新に対応するWebサイトでは、更新処理が自動で開始される。

　なお、「WordPress」で公式にサポートされるのは最新バージョン（現在はv7.1シリーズ）だけだ。今回のセキュリティ修正は、必要に応じて旧バージョンの4.7シリーズまで遡って適用（バックポート）する作業が進められており、準備が整い次第公開される見込み。ただし、旧バージョンへの修正提供はあくまで善意（courtesy）によるもので、継続的なサポートが保証されているわけではない点には注意したい。

　次のメジャーバージョンとなる「WordPress 7.2」は、12月8日のリリースが予定されている。