WordPress 7.1.3安全更新详解：评论XSS、WXR导出SQL注入等七处漏洞一次修完

后台那条「有可用更新」的提示又出现了，不少站长习惯性点「稍后再说」——网站跑得好好的，何必折腾？但 7.1.3 这次不一样：它是一次安全更新，官方原话是建议立即升级。对每天有真实访客的站点来说，拖一天就多一天暴露窗口，尤其是评论区开放投稿的站点，风险离你并不远。

这次修了七个漏洞，逐个说人话

7.1.3 一共包含 7 项安全修复和 4 项缺陷修复，漏洞清单本身信息量不小：

1. 评论管理页存储型 XSS。攻击者把恶意代码藏进待审核评论里，管理员一打开评论列表页面，代码就在自己浏览器里执行。这是最典型的「打管理员」套路，中招后可能直接丢失后台权限。
2. WP_Http::make_absolute_url() 拒绝服务问题。这个方法负责把相对链接补全成绝对地址，插件和主题调用频繁，被恶意请求刷爆后站点会明显变慢甚至无响应。
3. WXR 导出功能的二阶 SQL 注入。二阶注入的麻烦在于恶意数据先存进数据库，等你哪天导出备份时才触发，排查起来非常隐蔽。
4. 作者角色可置顶文章的权限弱点。多作者站尤其要注意：置顶位是首页黄金资源，权限边界模糊就可能被投稿者拿来抢占首页。
5. 未登录状态可读取私有文章与未发布文章的评论。对用 WordPress 做内部协作或付费内容的站点，这条泄露几乎是致命的。
6. Imgur 嵌入存在 XSS 风险。老站点的历史文章里多少都有几个 Imgur 嵌入块，这条修复值得专门回头检查一遍。
7. {status}_{type} 钩子参数可伪造，造成动作名冲突，可能干扰插件依赖的状态回调逻辑。

值得一提的是报告方：除了 Trail of Bits 和 Patchstack 这样的专业安全公司，Anthropic 一口气报了三条。AI 安全团队开始系统性审计开源核心代码，这个趋势对站长是好消息——漏洞被发现的速度只会更快，及时升级的重要性也随之水涨船高。

三步完成升级

1. 登录后台，进入「仪表盘 → 更新」，点击「立即更新」。开启了后台自动更新的站点其实已经自动完成，可以先到「站点健康」里确认当前版本号是不是 7.1.3。
2. 更新前务必确认最近一次完整备份的时间。安全更新本身风险低，但插件兼容问题偶有发生，数据库加文件的完整备份是底线，用主机商快照或备份插件都可以。
3. 如果后台更新失败（主机超时限制很常见），可以从官方下载 7.1.3 安装包手动覆盖：WordPress.org 安装包（https://wordpress.org/wordpress-7.1.3.zip）。覆盖前先停用缓存插件的页面缓存，避免前台继续输出旧静态页。

另外官方确认安全修复会回移植到 4.7 之后所有还在接收安全补丁的分支，但只有最新版本才有主动维护。还在跑老版本的站点，这次不妨直接一步升到 7.1.3，别再拖着中间版本了。

权限和评论，是这次最该自查的两块

这批漏洞里最值得玩味的是「作者可置顶文章」这种权限弱点——它不会直接让站点被黑，但反映出现在核心的安全审计已经细到角色能力层面了。多作者站点建议顺手做一次角色自查：给投稿者的能力是不是给多了？用 Members 这类角色管理插件把每个角色的权限列出来过一遍，五分钟就能确认一遍。

评论相关的两条修复也在提醒我们：评论功能一直是 WordPress 攻击面最大的区域之一。如果你的站点根本不需要评论，直接关掉比装十道防护都有效；确实需要评论的站点，至少把「评论必须人工审核」打开，别给存储型 XSS 留自动展示的机会。顺手在评论区关掉纯 HTML 输入，也能再堵一条缝。

安全更新没有新功能那种兴奋感，但它决定了站点能不能安稳跑到下一次大版本。趁着今天后台点一次「立即更新」，再花十分钟做一次角色和评论设置的自查，比出事之后通宵恢复数据划算得多。