以下は、Aaron D. Campbell が書いた WordPress.org 公式ブログの記事、「WordPress 4.7.2 Security Release」を訳したものです。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
WordPress 4.7.2 が利用可能になりました。これは過去のすべてのバージョンのためのセキュリティリリースですので今すぐサイトを更新してください。
4.7.1 およびそれ以前の WordPress は以下3件セキュリティ問題の影響を受けます:
- Press This のタクソノミー語句を割り当てるユーザーインタフェースが使用権限のないユーザーにまで表示される。Alley Interactive の David Herrera により報告されました。
- 安全でないデータが渡された時に発生する
WP_Query の SQL インジェクション (SQLi) 脆弱性。WordPress コアがこの問題の影響を直接受けることはありませんが、プラグインやテーマが絡むケースを考慮して安全性強化のために対策を行うものです。Mo Jangda (batmoo) により報告されました。
- 投稿リストテーブルで発見されたクロスサイトスクリプティング (XSS) 脆弱性。WordPress セキュリティチームの Ian Dunn により報告されました。
適切なプロセスに則った報告に感謝します。
WordPress 4.7.2 への更新は ダッシュボード > 更新 メニューから。自動バックグラウンド更新をサポートしているサイトではすでに更新のプロセスが進んでいるはずです。
4.7.2 に貢献のあったみなさんに感謝します。
以下は、Aaron D. Campbell が書いた WordPress.org 公式ブログの記事、「WordPress 4.7.1 Security and Maintenance Release」を訳したものです。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
WordPress 4.7 は2016年12月6日のリリース以来、ダウンロード数が1千万回を超えました。本日その最新版となる WordPress 4.7.1 が利用可能となりましたのでお知らせします。これはセキュリティリリースであり、以前のバージョンを使用しているすべての方に速やかなアップデートを勧告するものです。
WordPress 4.7 およびそれ以前の全リリースは以下8件のセキュリティ問題の影響を受けます:
- PHPMailer の遠隔コード実行 – 調査の結果、WordPress および主要なプラグインがこの問題の影響を受ける可能性はないことがわかっていますが、広範囲に影響しうる問題のため今回のリリースで PHPMailer のアップデートを行いました。この問題は Dawid Golunski と Paul Buonopane により PHPMailer に対して報告されました。
- 公開 (public) の投稿タイプの投稿を作成したすべてのユーザーのデータが REST API 経由で参照可能になる問題。WordPress 4.7.1 では REST API で参照可能と指定された投稿タイプに限定されるよう制限が加わります。Krogsgard と Chris Jean により報告されました。
update-core.php のプラグイン名またはバージョンのヘッダーを利用したクロスサイトスクリプティング (XSS)。WordPress セキュリティチームの Dominik Schilling により報告されました。- Flash ファイルのアップロードに関連したクロスサイトリクエストフォージェリ (CSRF)。Abdullah Hussam により報告されました。
- テーマ名のフォールバックを利用するクロスサイトスクリプティング (XSS)。Mehmet Ince により報告されました。
- メールによる投稿でデフォルト設定の
mail.example.com が変更されていない場合の対応。WordPress セキュリティチームの John Blackbourn により報告されました。
- ウィジェット編集のアクセシビリティモードに関連したクロスサイトリクエストフォージェリ (CSRF)。Ronnie Skansing により報告されました。
- マルチサイト有効化キーの強度不十分な暗号セキュリティ。Jack により報告されました。
適切なプロセスに則った報告に感謝します。
これらのセキュリティ関連の問題に加え、WordPress 4.7.1 では 4.7 リリース以降に発見された62個のバグを修正しています。より詳しい情報はリリースノートと変更リストを参照してください。
WordPress 4.7.1 への更新は ダッシュボード > 更新 メニューから。自動バックグラウンド更新をサポートしているサイトではすでに更新のプロセスが進んでいるはずです。