WordPress 7.1.4 发布：一次以安全修复为核心的短周期更新
WordPress 7.1.4 已经发布，这是一个安全维护版本，集中修复了多个安全漏洞，其中包含一处可能导致远程代码执行（RCE）的升级流程缺陷。官方建议所有站点尽快完成更新。
7.1.4 属于 short-cycle release（短周期版本），并非功能版本，主要目的是在下一个大版本到来前修补安全问题。按官方计划，下一个大版本 WordPress 7.2 目前定于 12 月 8 日发布；同时 WordPress 7.2 Beta 3 也已放出，其中已包含本次所有适用的修复内容。
核心变化：本次修复了哪些安全问题
本次修复覆盖了远程代码执行、存储型 XSS、权限绕过与服务拒绝（DoS）等多个类别。安全团队公开致谢了负责任地报告漏洞并配合修复的研究者，主要包括：
- 升级流程缺陷可能导致远程代码执行：在升级窗口期内被利用，由 Umut Bayram 报告。
- 精心构造的区块标记引发存储型 XSS：由 Rafie Muhammad（Awesome Motive, Inc.）报告。
- 隐私数据删除请求（Privacy Data Removal Requests）可被构造为触发存储型 XSS：由 Anthropic 报告。
- Interactivity API 中的多处存储型 XSS：由 VietSunshine Cyber Security 的 AnC 与 DatNLQ、rekter0 与 Anas cherni、Marcel Karlsson（whoismarcel），以及 WordPress 安全团队的 Weston Ruter、Jon Surrell、Alex Concha、Luis Herranz 分别独立发现。
- Interactivity API 中的存储型拒绝服务问题：由 WordPress 安全团队的 Jon Surrell 报告。
- Customizer 选择性刷新（selective refresh）中的存储型 XSS：由 Rafie Muhammad 报告。
- Categories 区块中的存储型 XSS：由 WordPress 安全团队的 Ben Bidner 报告。
- 精心构造的用户登录名可导致存储型 XSS：由 Anthropic 报告。
- 未发布的 Customizer 变更集（changesets）可被未认证用户发现：由 Antonio Lorensius Silaban 报告。
- Playlist 与图片区块中的存储型 XSS：由 Ben Bidner 报告。
- core/comments-pagination-next 与 core/comments-pagination-previous 区块中的存储型 XSS：由 WordPress 安全团队的 Alex Concha 报告。
- 权限越界读取备注（Notes）：权限不足的用户可以读取其无权编辑的文章所附备注，由 WordPress 安全团队的 Ramon 报告。
- 内置根证书更新：因 eMudhra 证书吊销而同步更新。
本次发布由 Aaron Jorbin 与 Nik Tsekouras 主导。
影响与建议
- 立即更新。这是安全版本，漏洞涉及 RCE 与多处可被未认证用户触发的 XSS 和信息泄露，拖延更新的风险明显偏高。
- 更新方式有三种：从 WordPress.org 下载 7.1.4 安装包；在后台进入「更新」页面点击「立即更新」；若站点已启用自动后台更新，升级会自动开始。
- 老版本用户也别忽视。官方出于礼节已将安全修复回移植（backport）到所有仍可接收安全修复的分支，目前覆盖到 4.7。回移植版本正在陆续发布，准备就绪后即会推出。
- 注意官方提醒：只有最新的 WordPress 版本才处于积极维护状态，历史版本即使有回移植，也不等于完整支持。
- 对使用 Interactivity API 与区块的站点重点排查。本次多条 XSS 均集中在 Interactivity API、Customizer 以及若干核心区块的标记解析上。若站点允许低权限用户提交评论或自定义内容，建议在更新后额外检查相关页面的渲染表现与访问日志。
