انتشار نسخه ۷٫۱٫۴ وردپرس؛ آپدیت امنیتی فوری برای وبسایتها
توسعهدهندگان وردپرس با انتشار یک نسخه اضطراری، چندین آسیبپذیری مهم از جمله امکان نفوذ و اجرای کد از راه دور را برطرف کردند.
توسعهدهندگان وردپرس با انتشار یک نسخه اضطراری، چندین آسیبپذیری مهم از جمله امکان نفوذ و اجرای کد از راه دور را برطرف کردند.
نسخهی ۷٫۱٫۴ وردپرس با هدف برطرفکردن مجموعهای از آسیبپذیریهای امنیتی منتشر شد. این بهروزرسانی مشکلاتی را برطرف میکند که برخی از آنها میتوانستند به اجرای کد از راه دور، حملات تزریق کد مخرب و دسترسی غیرمجاز به اطلاعات منجر شوند.
تیم توسعهی وردپرس در تاریخ ۲۸ اکتبر ۲۰۲۶ (۶ آبان ۱۴۰۵) نسخهی ۷٫۱٫۴ این سیستم مدیریت محتوا را منتشر کرد. نسخهی جدید برخلاف بهروزرسانیهای بزرگ وردپرس، قابلیت تازهای به بخش مدیریت یا ویرایش محتوا اضافه نمیکند و تمرکز آن بر اصلاح مشکلات امنیتی شناساییشده است.
بر اساس اطلاعات وبسایت رسمی وردپرس، یکی از آسیبپذیریهای مهم برطرفشده به فرایند بهروزرسانی این سیستم مربوط میشود. نقص یادشده در شرایط خاص میتوانست امکان اجرای کد از راه دور را در بازهی زمانی انجام بهروزرسانی فراهم کند. این مشکل را اوموت بایرام، پژوهشگر امنیتی، شناسایی و گزارش کرده است.
بخش دیگری از اصلاحات به آسیبپذیریهای XSS ذخیرهشده مربوط میشود. این نوع حمله زمانی رخ میدهد که کد مخرب در محتوای وبسایت ذخیره شود و هنگام مشاهدهی آن، در مرورگر کاربران اجرا شود.
توسعهدهندگان وردپرس چندین آسیبپذیری از این نوع را در بخشهای مختلف ازجمله بلوکهای محتوایی، تصاویر، فهرست دستهبندیها، صفحهبندی دیدگاهها و API تعاملپذیری (Interactivity API) برطرف کردهاند. همچنین مشکلی در فرایند ثبت درخواست حذف دادههای شخصی شناسایی شده بود که میتوانست به اجرای حملهی XSS منجر شود.
در نسخهی ۷٫۱٫۴، آسیبپذیری دیگری در Interactivity API اصلاح شده است که امکان ایجاد اختلال در ارائهی خدمات را فراهم میکرد. مشکلات مربوط به افشای تغییرات منتشرنشدهی بخش سفارشیسازی قالب و مشاهدهی برخی یادداشتهای متصل به نوشتهها توسط کاربران فاقد مجوز ویرایش نیز برطرف شدهاند.
شرکت آنتروپیک، سازندهی هوش مصنوعی کلاد، در شناسایی دو آسیبپذیری نقش داشته است. یکی از مشکلات به درخواستهای حذف اطلاعات شخصی و دیگری به نامهای کاربری دستکاریشده مربوط میشد که هر دو میتوانستند زمینهساز حملات XSS ذخیرهشده باشند.
وردپرس همچنین گواهیهای ریشهی دیجیتال همراه نرمافزار را بهدلیل ابطال گواهی مربوط به eMudhra بهروزرسانی کرده است.
تیم توسعه تأکید میکند که مدیران وبسایتها باید هرچه سریعتر وردپرس را به نسخهی ۷٫۱٫۴ ارتقا دهند. برای نصب دستی، کافی است از پیشخوان وردپرس وارد بخش «بهروزرسانیها» شوند و گزینهی بهروزرسانی را انتخاب کنند. وبسایتهایی که از بهروزرسانی خودکار پسزمینه پشتیبانی میکنند، میتوانند نسخهی جدید را بهصورت خودکار دریافت کنند.
اصلاحات امنیتی این نسخه برای شاخههای قدیمیتر واجد شرایط، تا نسخهی ۴٫۷، نیز در حال آمادهسازی است. بااینحال، توسعهدهندگان یادآوری میکنند که تنها جدیدترین نسخهی وردپرس بهصورت فعال پشتیبانی میشود.
وردپرس ۷٫۱٫۴ یک انتشار کوتاهمدت محسوب میشود و نسخهی اصلی بعدی، یعنی وردپرس ۷٫۲، طبق برنامهی فعلی قرار است در ۸ دسامبر ۲۰۲۶ (۱۷ آذر ۱۴۰۵) منتشر شود. نسخهی آزمایشی سوم وردپرس ۷٫۲ نیز اصلاحات امنیتی مرتبط با بهروزرسانی جدید را دریافت کرده است.
نسخهی ۷٫۱٫۴ هماکنون از طریق وبسایت رسمی وردپرس برای دریافت و نصب در دسترس قرار دارد.
WordPress 7.1.4 Released as Urgent Security Update
WordPress has released version 7.1.4 as an emergency patch to address multiple critical vulnerabilities, including remote code execution and stored XSS flaws. Website administrators are urged to update immediately to secure their platforms.
WordPress developers have released an emergency update, version 7.1.4, to resolve a series of important security vulnerabilities. This update addresses issues that could potentially lead to remote code execution, malicious code injection attacks, and unauthorized access to data. The release contains no new content management or editing features, focusing solely on fixing identified security flaws.
According to official WordPress information, one of the major fixed vulnerabilities relates to the update process itself, where a specific flaw could allow remote code execution during the update window. This issue was discovered and reported by security researcher Umut Bayram. Other fixes target stored Cross-Site Scripting (XSS) vulnerabilities found across various components, including content blocks, images, category lists, comment pagination, and the Interactivity API.
Additional fixes address a denial-of-service vector within the Interactivity API, unauthorized visibility of unpublished customizer changes, and the exposure of post notes to users lacking editing permissions. Anthropic, the creator of the Claude AI, also assisted in identifying two vulnerabilities related to personal data deletion requests and manipulated usernames that could have enabled stored XSS attacks. Furthermore, WordPress updated its digital root certificates due to the revocation of a certificate associated with eMudhra.
The development team emphasizes that website administrators should upgrade to version 7.1.4 as soon as possible. Manual installations can be performed via the WordPress dashboard updates section, while sites supporting background automatic updates will receive the new version automatically. Security fixes for older eligible branches down to version 4.7 are also being prepared, though developers remind users that only the newest version receives active support. WordPress 7.1.4 is a short-term release, with the next major version, WordPress 7.2, scheduled for release on December 8, 2026.
English version written with AI from the Persian report by زومیت.