WordPress 7.0.3 安全更新：修复高危 XSS 漏洞及多项安全问题

WordPress 官方于近期发布了安全更新版本 7.0.3，此次更新修复了核心程序中的十二个安全漏洞，其中三个漏洞的严重性较高，一个被评定为 8.9/10 的高危级别。对于使用 WordPress 建站的用户来说，及时更新版本是保障网站安全的关键一步。本文由 Search Engine Journal 整理报道，旨在帮助用户理解此次更新的重要性与具体内容。

核心程序中的十二个漏洞

在过去，WordPress 核心程序被发现漏洞的情况相对较少。但近期，借助人工智能技术的辅助，安全研究人员发现了一系列不同寻常的漏洞集群。本次公布的十二个漏洞中，官方公告仅提供了最基础的描述，并未透露严重性评级，这使得普通用户难以判断修补的紧迫性和重要性。 这十二个漏洞具体如下： 1. 投稿者（Contributor+）及以上权限用户在“发布日期”区块中存在存储型跨站脚本（XSS）问题。

2. 投稿者及以上权限用户在“文章内容”区块中存在存储型跨站脚本（XSS）问题。
3. “最新评论”区块存在信息泄露问题，可能暴露受密码保护文章下的评论。
4. 电子邮件地址确认流程存在被绕过的风险。
5. 作者（Author+）及以上权限用户可通过绕过安全 CSS 属性过滤器进行 CSS 注入。
6. 投稿者及以上权限用户可通过表情符号设置元素在文章中注入存储型跨站脚本（XSS）。
7. 在启用用户注册的多站点网络中，存在权限提升漏洞，允许用户创建新站点。
8. URL 验证中存在服务端请求伪造（SSRF）问题，允许请求链接本地范围。
9. 登录界面存在预认证反射型跨站脚本（XSS）漏洞，有潜在可能导致 PHP 代码执行。
10. 评论源（Comment Feeds）中泄露笔记信息。
11. 文章别名（Post Slug）可被枚举。
12. 在拥有大量用户（User）的站点上，投稿者及以上权限用户在快速编辑（Quick Edit）功能中存在存储型跨站脚本（XSS）问题。

三个最值得关注的高危漏洞

在上述漏洞中，有三个漏洞的风险程度最高，需要站点管理员特别留意：

1. 登录界面预认证

XSS，可能导致 PHP 代码执行 该漏洞被官方确认为高危级别，评分为 8.9/10。所谓“预认证（Pre-auth）”意味着攻击者无需拥有 WordPress 账户即可发起攻击。然而，该漏洞的利用需要用户交互，即攻击者需要诱骗拥有网站账户的用户执行特定操作（即社会工程学攻击）。 WordPress 官方 GitHub 安全仓库对此漏洞的说明指出，该漏洞可能升级为远程代码执行（RCE）漏洞：“WordPress 登录界面存在一个预认证反射型 XSS 漏洞。通过攻击者托管的特制恶意第三方网站，在攻击者控制之外的条件配合下，此漏洞有可能升级为 RCE 漏洞。这需要目标受害者成功配合社会工程学攻击并进行明确的交互。该问题影响所有版本的 WordPress。7.0.3 版本已发布，包含对此漏洞的修复，并且作为对旧版本用户的礼遇，修复程序已向后移植到 4.7 以来的所有分支。”

2. 允许请求链接本地范围的

SSRF 漏洞 该漏洞的严重性可能很高，但目前官方仅提供了简要描述。SSRF 即服务端请求伪造（Server-Side Request Forgery）。在此上下文中，链接本地 IP 范围是指为服务器内部通信保留的 IP 地址。综合来看，该漏洞的简要描述暗示其可能允许向链接本地 IP 范围发起服务端请求，从而可能暴露服务器上的敏感信息。不过，由于官方未提供详细说明，我们只能从现有信息中进行推断。

3. 多站点网络中的权限提升漏洞

此漏洞允许用户在启用了用户注册的多站点网络中，未经授权创建另一个站点。这对于大学等机构网站，以及使用多站点安装的用户来说，可能构成严重问题。

关于 XSS

漏洞的深入解读 列表中最令人担忧的漏洞当属登录界面的预认证 XSS 漏洞。XSS 即跨站脚本（Cross-Site Scripting）。根据开放Web应用程序安全项目（OWASP）的定义：“跨站脚本（XSS）攻击是一种注入型攻击，恶意脚本被注入到原本良性和受信任的网站中。当攻击者使用 Web 应用程序向最终用户发送恶意代码（通常是浏览器端脚本形式）时，就会发生 XSS 攻击。允许这些攻击成功的缺陷相当普遍，并且发生在 Web 应用程序在生成输出时使用用户输入但未进行验证或编码的任何地方。攻击者可以使用 XSS 向不知情的用户发送恶意脚本。最终用户的浏览器无法知道该脚本是否应被信任，并且会执行该脚本。由于浏览器认为脚本来自受信任的来源，恶意脚本可以访问浏览器保留的、用于该站点的任何 Cookie、会话令牌或其他敏感信息。” 你可以参考 OWASP 关于 XSS 的官方指南 获取更详细的技术解释。

安全社区的反应

Patchstack 的 Oliver Sild 在 X（原 Twitter）上就此次 XSS 漏洞发表了看法：“几周前，当 #WP2Shell 出现，OpenAI 的 Sol Ultra 占据了大部分功劳时——我想到的是，所有其他实验室和 AI 渗透测试公司会如何急于证明他们也能在 WordPress 核心中找到东西。好吧，今天，3 周后——我们迎来了下一个 WordPress 核心版本发布，修补的不是一个，而是 12 个漏洞。正如所料，这些问题是由 @AnthropicAI、@pwn_ai、@AikidoSecurity 等机构报告的。最棘手的是登录界面 XSS，它通过一些社会工程学手段可能导致远程代码执行。幸运的是，WordPress 正在快速自动更新，而且这些漏洞都不像 WP2Shell 那样可以大规模利用。一如既往，@patchstackapp 的客户在披露时立即收到了缓解规则。” Oliver Sild 还告诉 Search Engine Journal，他们正在跟踪这些漏洞的利用情况。

行动建议

对于所有 WordPress 用户，最直接有效的建议是立即将网站更新至 7.0.3 或最新版本。WordPress 通常会自动应用安全更新，但建议站长登录后台确认版本号，以确保网站已受到保护。同时，启用自动更新功能并定期备份网站数据，是良好的安全实践。你可以访问 WordPress 官方更新页面 获取最新版本。

常见问题

WordPress 7.0.3

修复了哪些严重问题？ 此次更新修复了十二个漏洞，其中最严重的是一个被评为 8.9 分（高危）的登录界面预认证 XSS 漏洞，该漏洞在特定条件下可能被利用导致远程代码执行（RCE）。此外，还修复了一个可能导致敏感信息泄露的 SSRF 漏洞，以及一个多站点网络中的权限提升漏洞。

什么是预认证

XSS 漏洞？ 预认证 XSS 指的是攻击者无需登录网站账号即可触发的跨站脚本攻击。在本次漏洞中，攻击者需要诱导已登录的管理员或用户点击恶意链接，才能成功利用该漏洞。

我需要立即更新

WordPress 吗？ 是的，强烈建议所有 WordPress 用户立即更新至 7.0.3 或更高版本。由于部分漏洞（如登录界面 XSS）风险较高，且官方已将修复程序向后移植至 4.7 版本，及时更新是保护网站安全的最有效手段。

多站点网络的权限提升漏洞有什么影响？

该漏洞允许已注册用户在多站点网络中未经授权创建新站点。对于大学、大型企业等使用多站点架构的机构，这可能导致未授权的资源消耗或内容滥用，需要管理员特别关注。

如何检查我的

WordPress 版本并确保安全？ 登录 WordPress 管理后台，在“仪表盘”->“更新”页面可以查看当前版本。如果版本低于 7.0.3，请点击“更新”按钮进行升级。同时，建议在“设置”->“常规”中启用自动更新功能，并定期进行全站备份。

---

相关阅读

• AI 颠覆搜索：微软加速大会关键洞察与 Bing 站长指南

• Google搜索结果仍大量收录AI标记页面：Ahrefs最新数据揭示排名与AI内容的关系

• 谷歌财报揭示搜索与AI的未来：从信息引擎到智能代理

关于 Bingdada

Bingdada 是一个专注 SEO、GEO（生成式引擎优化）与 AEO（答案引擎优化）的内容平台，由资深内容编辑、SEO 技术工程师与 AI 研究专家组成的团队持续运营。我们追踪搜索引擎与生成式 AI 的最新动态，为读者提供准确、实用、可落地的方法论与行业洞察。 编辑团队：内容策划 · 技术编辑 · AI 研究组 网站：bingdada.com © 2026 Bingdada. 保留所有权利。