以下は、Aaron D. Campbell が書いた WordPress.org 公式ブログの記事、「WordPress 4.7.1 Security and Maintenance Release」を訳したものです。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
WordPress 4.7 は2016年12月6日のリリース以来、ダウンロード数が1千万回を超えました。本日その最新版となる WordPress 4.7.1 が利用可能となりましたのでお知らせします。これはセキュリティリリースであり、以前のバージョンを使用しているすべての方に速やかなアップデートを勧告するものです。
WordPress 4.7 およびそれ以前の全リリースは以下8件のセキュリティ問題の影響を受けます:
- PHPMailer の遠隔コード実行 – 調査の結果、WordPress および主要なプラグインがこの問題の影響を受ける可能性はないことがわかっていますが、広範囲に影響しうる問題のため今回のリリースで PHPMailer のアップデートを行いました。この問題は Dawid Golunski と Paul Buonopane により PHPMailer に対して報告されました。
- 公開 (public) の投稿タイプの投稿を作成したすべてのユーザーのデータが REST API 経由で参照可能になる問題。WordPress 4.7.1 では REST API で参照可能と指定された投稿タイプに限定されるよう制限が加わります。Krogsgard と Chris Jean により報告されました。
update-core.phpのプラグイン名またはバージョンのヘッダーを利用したクロスサイトスクリプティング (XSS)。WordPress セキュリティチームの Dominik Schilling により報告されました。- Flash ファイルのアップロードに関連したクロスサイトリクエストフォージェリ (CSRF)。Abdullah Hussam により報告されました。
- テーマ名のフォールバックを利用するクロスサイトスクリプティング (XSS)。Mehmet Ince により報告されました。
- メールによる投稿でデフォルト設定の
mail.example.comが変更されていない場合の対応。WordPress セキュリティチームの John Blackbourn により報告されました。 - ウィジェット編集のアクセシビリティモードに関連したクロスサイトリクエストフォージェリ (CSRF)。Ronnie Skansing により報告されました。
- マルチサイト有効化キーの強度不十分な暗号セキュリティ。Jack により報告されました。
適切なプロセスに則った報告に感謝します。
これらのセキュリティ関連の問題に加え、WordPress 4.7.1 では 4.7 リリース以降に発見された62個のバグを修正しています。より詳しい情報はリリースノートと変更リストを参照してください。
WordPress 4.7.1 への更新は ダッシュボード > 更新 メニューから。自動バックグラウンド更新をサポートしているサイトではすでに更新のプロセスが進んでいるはずです。