文章目录[隐藏]
WordPress 宣布了 6.5.2 维护和安全版本更新，该更新修补了一个商店跨站脚本漏洞，并修复了核心和块编辑器中的十几个错误。
同样的漏洞会影响 WordPress 核心和 Gutenberg 插件。
跨站点脚本 （XSS）
在 WordPress 中发现一个 XSS 漏洞，该漏洞可能允许攻击者将脚本注入网站，然后攻击这些页面的网站访问者。
XSS漏洞有三种，但在WordPress插件、主题和WordPress本身中最常见的是反射XSS和存储的XSS。
反射式 XSS 要求受害者单击链接，这是一个额外的步骤，使这种攻击更难发起。
存储的 XSS 是更令人担忧的变体，因为它利用了一个缺陷，允许攻击者将脚本上传到易受攻击的站点，然后可以对站点访问者发起攻击。在WordPress中发现的漏洞是存储的XSS。
威胁本身在一定程度上得到了缓解，因为这是一个经过身份验证的存储 XSS，这意味着攻击者需要首先获得至少一个贡献者级别的权限，才能利用使漏洞成为可能的网站缺陷。
此漏洞被评为中级威胁，通用漏洞评分系统 （CVSS） 得分为 6.4（1 – 10 分）。
Wordfence 描述了该漏洞：
“WordPress Core 容易受到 Avatar 块中用户显示名称的存储跨站点脚本的影响，在各种版本中，最高可达 6.5.2，因为显示名称的输出转义不足。这使得经过身份验证的攻击者，具有贡献者级别及以上的访问权限，可以在页面中注入任意 Web 脚本，每当用户访问注入的页面时，这些脚本就会执行。
WordPress.org 建议立即更新
本文摘自网络，不代表短经典网立场 https://www.duanjingdian.com/159.html
