WordPress 7.1.3出了，7个安全洞建议马上更

WordPress.org 10月6日发了 7.1.3 维护与安全版，含 7 项安全修复和 4 项缺陷修复，官方建议立刻更新；开了自动后台更新的站点会自己跑。[1]

安全项里写到的包括：评论管理页通过待审评论的存储型 XSS；WP_Http::make_absolute_url() 的 DoS；WXR 导出里的二阶 SQL 注入；Author 角色可 sticky 帖子的问题；未登录可看到私密/未发布文章评论；Imgur 嵌入 XSS；以及 {status}_{type} hook 参数可伪造导致动作名冲突。报告方有 Trail of Bits、Anthropic、Patchstack 等。[1]

安全修复会向仍收安全补丁的老分支回移植（目前写到 4.7），但官方再次强调只有最新版才是活跃支持。自建站或代维的，进后台 Updates → Update Now，或直接下 7.1.3 包。你那边生产环境现在是几几几？

[1] WordPress 7.1.3 Maintenance and Security Release，WordPress.org，2026年10月6日。

#WordPress #安全更新 #XSS #SQL注入 #建站