以下は WordPress.org 公式ブログの記事「WordPress 7.1.1 Maintenance and Security Release」の翻訳です。
誤字脱字誤訳などありましたらフォーラムまでお知らせください。
今回のセキュリティおよびメンテナンスリリースでは、WordPress コアのバグ修正17件、ブロックエディターのバグ修正19件、セキュリティ修正11件が含まれています。
セキュリティリリースのため、サイトをできるだけ早く更新することを推奨します。
WordPress 7.1.1は WordPress.org からダウンロードできます。または、WordPress ダッシュボードにアクセスし、「更新」をクリックし、続いて「バージョン 7.1.1–ja に更新」をクリックします。自動バックグラウンド更新をサポートするサイトでは、更新プロセスが自動的に始まります。
WordPress 7.1.1は短期サイクルでのリリースです。次期メジャーリリースはバージョン7.2 (リンク先英語) で、現時点では12月に予定されています。
詳細については、WordPress 7.1.1 HelpHub サイト (リンク先英語) をご覧ください。
このリリースに含まれるセキュリティ更新
セキュリティチームは、脆弱性を責任ある形で報告していただき、本リリースでの修正につながった以下の皆さんに感謝いたします:
wpautop()における保存型クロスサイトスクリプティング (XSS) により、認証されていない訪問者がスクリプトを挿入できる脆弱性 (ただし、コメントの承認が必要)。Rafie Muhammad (Awesome Motive, Inc.) より報告。- HTML API:
set_modifiable_text()で突然終了シーケンス (abrupt-closing sequences) を使用してコメントから抜け出せてしまう脆弱性。WordPress セキュリティチームの Jeremy Felt より報告。 - カスタムヘッダーに対応する一部のテーマにおける格納型 XSS (Stored XSS)。WordPress セキュリティチームの Jeremy Felt より報告。
- 細工された URL により、WordPress.org から無効化されているテーマを自動的にインストールしてプレビューできる脆弱性。Paulos Yibelo と pwn.ai より報告。
- サイト管理者が、インストール済みのネットワーク専用プラグインをネットワークで有効化できる脆弱性。Jesse McNeil より報告。
- WP REST Templates Controller での認証済みパストラバーサル。Anthropic より報告。
- XML-RPC を使用して、
edit_cssのチェックを回避するcustomize_changeset投稿を公開できる脆弱性。WordPress セキュリティチームの Ben Bidner より報告。 - 投稿者以上の権限による任意の投稿の上書き。Anthropic より報告。
attachment_submitbox_metadata()でread_postのチェックの欠落により、非公開の親投稿のタイトルが漏洩する脆弱性。HDWSec より報告。- 権限付与の欠落により、投稿者以上の権限で下書き / 承認待ち投稿のスラッグが漏洩する脆弱性。hermanhms より報告。
- ログイン済みのすべてのユーザーが、ノートを含むコメントの親を変更できる脆弱性。viridis より報告。
WordPress コントリビューターの皆さんに感謝
今回のリリースは、Adam Silverstein、Adrian Duffell、Andrei Draganescu、Aaron Jorbin がリードしました。
WordPress 7.1.1は、以下のみなさんの貢献なしには実現できませんでした。メンテナンスおよびセキュリティの修正を安定版リリースとして提供するための連携は、WordPress コミュニティの力と能力の証です。
Aaron Jorbin, abrahamfariaz, Adam Silverstein, Adi Moldovan, Adrian Duffell, Aki Hamano, Alex Concha, Andrea Fercia, andreasca, Andrei Draganescu, Andrew Duthie, Andrew Serong, André Maneiro, annezazu, Anthony White, Arkaprabha Chowdhury, Ashar Fuadi, Azragh, Barry, buffer1024, Chunhui Ouyang, Courtney Robertson, Dagan, Daniel Richards, Daniel Rodriguez, Darshit Rajyaguru, David Biňovec, Deepak Kumar, Dennis Snell, DevSaiful, Dhruvang21, Dominik Schilling, Ehtisham Siddiqui, Ella Van Durpe, Erick Wambua, FahimMurshed, Fernando Tellado, fiocavallari, George Mamadashvili, George Vasiliades, gregbenz, Harish Tewari, Hit Bhalodia, Isabel Brison, Jake Spurlock, Jamie Dąbrowiecki, Jb Audras, Jeffrey Paul, Jeremy Felt, Jiwoon Kim, Joe Dolson, Joe Hoyle, Joe McGill, Joen Asmussen, Johannes Jülg, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Josh, Kamran Abdul Aziz, Khokan Sardar, Kira Schroder, kleisauke, Kushagra Goyal, l1onofjudah, Lance Willett, luksusspokoju, Manzoor Wani, Marco Ciampini, marcs0h, Marin Atanasov, Michael, Mohammad Jangda, mrkenobi, Mukesh Panchal, Nawazkhan Pathan, Nik Tsekouras, Parth Jogi, Pascal Birchler, Paul Biron, Paul Kevan, Peter Wilson, Rafie Muhammad, ramonopoly, Rashed Hossain, Ressl, Riad Benguella, Rudy Faile, Sainath Poojary, Scott Kingsley Clark, Sergey Biryukov, Shail Mehta, Shameem – a11n, siliconforks, Slava Abakumov, Stephen Bernhardt, Sukhendu Sekhar Guria, Ugyen Dorji, Utsav Ladani, vortfu, Weston Ruter, w3bdsgn, wolf45 plus representatives from Automattic, Bluehost, GoDaddy, Pantheon, and WP Engine.
バックポート
これらの修正は、必要に応じて、セキュリティ修正の適用対象となるすべてのブランチ (現在は4.7まで) に任意の対応としてバックポートされています。念のため申し上げますが、公式にサポートされているのは WordPress の最新バージョンのみです。バックポート作業は現在進行中で、準備が整い次第順次リリースされます。
※訳注: バックポートは全てリリース済みです。
貢献するには
WordPress コア開発に参加するには、Trac にアクセスしてチケットに取り組み、#core チャンネルで議論に参加してみてください。サポートが必要な場合は「コアコントリビュータハンドブック日本語版」をご覧ください。
Ehtisham Siddiqui, Lance Willett, Weston Ruter, Adam Silverstein の校正への協力に感謝します。
協力者: @nukaga, @atachibana, @toru, @torikumo