Несколько уязвимостей в ядре WordPress позволяют внедрить в страницы сайта вредоносный сценарий, увидеть скрытые от посетителей изменения оформления и в одном случае дойти до удалённого выполнения кода. Для большинства атак нужна учётная запись с правами участника, автора или редактора. Одна проблема доступна без входа в систему. Затронуты ветки WordPress от 4.7 до 7.1.
Что исправлено в WordPress 7.1.4 и какие права нужны
Основную часть списка занимает хранимый межсайтовый скриптинг (XSS). Так называют случай, когда вредоносный сценарий сохраняется на сервере и срабатывает в браузере того, кто откроет заражённую страницу. Проблемы этого типа вендор нашёл в экране запросов на удаление персональных данных, в разметке блоков, в привязках Interactivity API (механизм связи элементов страницы с данными на сервере) и в блоке категорий. Большинство из них требуют роли участника - учётной записи, которая может создавать записи, но не публиковать их. Часть срабатывает у автора, часть у редактора.
Ещё одна группа проблем не требует учётных данных. Неопубликованные изменения в интерфейсе настройки оформления (Customizer) видны посетителю без входа на сайт. Отдельная ошибка в правах доступа позволяет пользовательским ролям, которые модерируют комментарии, читать, править и удалять заметки к записям, недоступным им для редактирования.
Наибольшие последствия даёт состояние гонки при обновлении ядра. Состояние гонки - это ситуация, когда два процесса обращаются к одним и тем же данным одновременно, и результат зависит от порядка операций. По описанию вендора, такая ошибка может привести к удалённому выполнению кода. Условия, при которых срабатывает эта атака, в уведомлении не уточняются.
Часть пунктов относится к усилению защиты, а не к отдельным атакам. Вендор убрал неэкранированные имена пользователей на экранах сети в multisite (режим, где одна установка WordPress обслуживает несколько сайтов) и заменил небезопасные подстановки в блоках изображения и плейлиста. Отдельно закрыта возможность подменять данные модулей сценариев через содержимое записи.
Оценку CVSS вендор не приводит и уровень опасности не указывает. Вектор атаки в уведомлении тоже не описан: для части проблем сказано только, какая роль нужна для их использования. Сведений о применении этих уязвимостей в реальных атаках нет. Публикация списка исправлений раскрывает технические детали, но не подтверждает эксплуатацию.
Исправления вышли 28 октября 2026 года в версии 7.1.4. Обновиться можно из панели управления, раздел Dashboard > Updates, или вручную, скачав релиз со страницы загрузки. Для старых веток выпущены отдельные версии: 7.0.8 и 6.9.11 закрывают все перечисленные проблемы, а 6.8.12, 6.7.11, 6.6.11 и более старые релизы закрывают лишь часть из них. Самый старый релиз с исправлениями - 4.7.39.
Ветки 4.6 и старше обновлений безопасности больше не получают, поэтому сайтам на них нужен переход на актуальную версию. Официальных обходных мер вендор не называет, остаётся установка исправленного выпуска.
Значимость релиза определяют два обстоятельства: для большинства атак достаточно низкой роли участника, а ошибка при обновлении ядра может привести к выполнению кода на сервере.
Ссылки
