WordPress 發布了 6.5.2 維護和安全更新，修復了跨商店腳本漏洞，並修復了核心和部落格編輯器中的十多個錯誤。
同一漏洞同時影響 WordPress 核心和 Gutenberg 外掛。
跨站腳本 (XSS)
WordPress 中發現了一個 XSS 漏洞，該漏洞可能允許攻擊者將腳本注入網站，然後攻擊這些頁面的網站訪客。
XSS 漏洞分為三種類型，但在外掛程式、主題和 WordPress 本身中最常見的是反射 XSS 和儲存型 XSS。
反射型 XSS 要求受害者點擊鏈接，這是一個額外的步驟，使得此類攻擊更難以發動。
儲存型 XSS 是最令人擔憂的變體，因為它利用了一個缺陷，允許攻擊者將腳本上傳到易受攻擊的站點，然後對網站訪客發動攻擊。 WordPress 中發現的漏洞是一個儲存型 XSS。
威脅本身有所緩解，因為這是經過身份驗證的儲存 XSS，這意味著攻擊者必須至少獲得貢獻者等級的權限才能利用導致漏洞成為可能的網站缺陷。
此漏洞被歸類為中度威脅，通用漏洞評分系統 (CVSS) 評分為 6.4（從 1 到 10）。
Wordfence 描述了該漏洞：
「由於顯示名稱中的輸出不足，WordPress Core 很容易受到使用Avatar 部落格中的使用者顯示名稱儲存的跨網站腳本的影響（最高6.5.2 版本）。這使得經過身份驗證的攻擊者可以在貢獻者級別進行訪問甚至更高，將任意 Web 腳本注入到頁面中，每當用戶訪問注入的頁面時就會執行這些腳本。”
WordPress.org 建議立即升級
WordPress 官方公告建議用戶更新其安裝，並寫道：
“由於這是一個安全版本，建議您立即更新您的網站。向後移植也適用於其他主要 WordPress 版本，6.1 及更高版本。”
閱讀 Wordfence 通知：
WordPress Core < 6.5.2：使用 Avatar Block 驗證儲存的跨站點腳本 (Contributor+)
Gutenberg 12.9.0 – 18.0.0 – 使用頭像區塊進行驗證的跨站點腳本（Contributor+）
閱讀 WordPress.org 的官方公告：
WordPress 維護和安全版本 6.5.2
精選圖片由 Shutterstock/ivan_kislitsin 提供
