وردپرس نسخه ۷.۱.۳ را منتشر کرده است؛ به‌روزرسانی‌ای که تمرکز اصلی آن روی برطرف کردن مشکلات امنیتی و رفع برخی ایرادهای نرم‌افزاری است. در این نسخه، ۷ مشکل امنیتی و ۴ باگ برطرف شده‌اند تا کاربران بتوانند با اطمینان بیشتری از سیستم مدیریت محتوای وردپرس استفاده کنند.
این به‌روزرسانی در تاریخ ۶ اکتبر ۲۰۲۶ (۱۴ مهر ۱۴۰۵) منتشر شد. تیم توسعه وردپرس با توجه به ماهیت امنیتی این نسخه، توصیه کرده است مدیران سایت‌ها در اولین فرصت شرایط به‌روزرسانی را بررسی کنند و نسخه جدید را نصب کنند.
اگر سایت شما با وردپرس ساخته شده، بهتر است این خبر را جدی بگیرید. در ادامه، هفت مورد امنیتی برطرف‌شده در وردپرس ۷.۱.۳ را به زبان ساده بررسی می‌کنیم و توضیح می‌دهیم پیش از نصب نسخه جدید چه نکاتی را باید در نظر داشته باشید.
مهم‌ترین تغییرات امنیتی وردپرس ۷.۱.۳ چیست؟
در این نسخه، مشکلاتی در بخش مدیریت دیدگاه‌ها، پردازش درخواست‌های HTTP، خروجی گرفتن از محتوا، سطح دسترسی کاربران و نمایش محتوای جاسازی‌شده برطرف شده است.
در ادامه، هر مورد را جداگانه بررسی می‌کنیم.
۱. رفع آسیب‌پذیری XSS در بخش مدیریت دیدگاه‌ها
یکی از مشکلات امنیتی این نسخه به بخش مدیریت دیدگاه‌های وردپرس مربوط می‌شود. این آسیب‌پذیری از نوع Stored XSS بود و امکان سوءاستفاده از محتوای برخی دیدگاه‌های در انتظار تأیید را فراهم می‌کرد.
حمله XSS زمانی رخ می‌دهد که یک وب‌سایت محتوای مخرب را به‌درستی کنترل نکند و مرورگر آن را به‌عنوان کد قابل اجرا پردازش کند. در چنین شرایطی، بسته به سطح دسترسی قربانی و نحوه اجرای حمله، ممکن است اطلاعات یا عملکرد بخش مدیریت تحت تأثیر قرار بگیرد.
در وردپرس ۷.۱.۳ این مشکل برطرف شده است. بنابراین، اگر کاربران در سایت شما دیدگاه ارسال می‌کنند، به‌روز نگه داشتن هسته وردپرس یکی از اقدامات مهم برای کاهش ریسک‌های امنیتی است.
۲. برطرف شدن مشکل اختلال در درخواست‌های HTTP
دومین اصلاح امنیتی به متد WP_Http::make_absolute_url() مربوط است. این بخش در پردازش و تبدیل آدرس‌های اینترنتی کاربرد دارد.
مشکل شناسایی‌شده می‌توانست زمینه‌ساز حمله از نوع Denial of Service یا DoS شود. در این نوع حمله، مهاجم تلاش می‌کند با ایجاد شرایط نامناسب، منابع سیستم را درگیر کند و دسترسی عادی به سرویس را مختل سازد.
این آسیب‌پذیری در نسخه ۷.۱.۳ اصلاح شده است. البته شدت و نتیجه احتمالی چنین مشکلاتی به شرایط اجرای کد و محیط سایت وابسته است؛ بنابراین نباید تصور کرد که همه سایت‌های دارای نسخه قدیمی الزاماً با اختلال مواجه شده‌اند.
۳. رفع مشکل تزریق SQL در خروجی گرفتن از وردپرس
سومین مورد به فرایند خروجی گرفتن از محتوای وردپرس با فرمت WXR مربوط می‌شود؛ فایلی که معمولاً برای انتقال نوشته‌ها، برگه‌ها و بخشی از اطلاعات محتوایی بین سایت‌های وردپرسی استفاده می‌شود.
این مشکل از نوع Second-Order SQL Injection بود. در چنین آسیب‌پذیری‌ای، داده‌ای که قبلاً وارد سیستم شده است، ممکن است در مرحله‌ای دیگر به شکل ناامن در یک پرس‌وجوی پایگاه داده استفاده شود.
اگر این نوع آسیب‌پذیری مورد سوءاستفاده قرار بگیرد، می‌تواند روی امنیت داده‌های سایت اثر بگذارد. اصلاح این مشکل در نسخه جدید به ایمن‌تر شدن فرایند خروجی گرفتن از محتوا کمک می‌کند.
۴. اصلاح سطح دسترسی کاربران با نقش نویسنده
در وردپرس، هر نقش کاربری باید فقط به امکاناتی دسترسی داشته باشد که برای آن تعریف شده است. برای مثال، نقش نویسنده معمولاً امکان انتشار و مدیریت نوشته‌های خودش را دارد، اما نباید بتواند بدون مجوز به تمام قابلیت‌های مدیریتی دسترسی پیدا کند.
در نسخه ۷.۱.۳، ضعفی که به کاربران دارای نقش نویسنده اجازه می‌داد نوشته‌ها را به‌صورت Sticky یا سنجاق‌شده تنظیم کنند، برطرف شده است.
این قابلیت معمولاً برای نمایش یک نوشته در جایگاه برجسته، مثلاً بالای فهرست مطالب وبلاگ، استفاده می‌شود.
این اصلاح به اهمیت کنترل دقیق سطح دسترسی‌ها در سایت‌های چندنویسنده‌ای اشاره دارد؛ به‌خصوص زمانی که چند نفر در تولید و مدیریت محتوا مشارکت می‌کنند.
۵. رفع افشای دیدگاه‌های نوشته‌های خصوصی و منتشرنشده
یکی دیگر از مشکلات امنیتی مهم این نسخه، امکان افشای بدون احراز هویت برخی دیدگاه‌های مربوط به نوشته‌های خصوصی و منتشرنشده بود.
محتوای خصوصی یا منتشرنشده ممکن است شامل اطلاعاتی باشد که هنوز نباید در دسترس عموم قرار بگیرد. اگر اطلاعات مرتبط با چنین محتواهایی بدون بررسی صحیح مجوزها نمایش داده شوند، حریم خصوصی سایت و کاربران آن در معرض خطر قرار می‌گیرد.
وردپرس در نسخه ۷.۱.۳ این مشکل را اصلاح کرده است. این موضوع برای سایت‌های شرکتی، آموزشی و فروشگاهی که بخشی از محتوای خود را به‌صورت خصوصی یا پیش‌نویس نگهداری می‌کنند نیز اهمیت دارد.
۶. برطرف شدن آسیب‌پذیری XSS در محتوای جاسازی‌شده Imgur
وردپرس امکان جاسازی محتوای سرویس‌های خارجی را در نوشته‌ها و برگه‌ها فراهم می‌کند. این قابلیت می‌تواند برای نمایش تصاویر و محتوای رسانه‌ای مفید باشد، اما محتوای خارجی نیز باید به‌درستی مدیریت و ایمن‌سازی شود.
در نسخه ۷.۱.۳، آسیب‌پذیری XSS مرتبط با محتوای جاسازی‌شده Imgur برطرف شده است.
این اصلاح یادآوری می‌کند که حتی اگر محتوای اصلی سایت شما سالم باشد، استفاده از سرویس‌های خارجی نیز می‌تواند بخشی از ملاحظات امنیتی وب‌سایت باشد.
اگر از محتوای جاسازی‌شده در مقالات خود استفاده می‌کنید، علاوه بر به‌روزرسانی وردپرس، بهتر است افزونه‌ها و ابزارهای مرتبط را نیز به‌روز نگه دارید.
۷. رفع مشکل برخورد نام اکشن‌ها در هوک‌های وردپرس
هفتمین اصلاح امنیتی به پارامترهای قابل جعل در هوک‌هایی با الگوی {status}_{type} مربوط می‌شود. این مشکل می‌توانست باعث تداخل نام اکشن‌ها شود.
هوک‌ها در وردپرس به توسعه‌دهندگان اجازه می‌دهند عملکردهای جدیدی به سیستم اضافه کنند یا رفتار بخش‌های مختلف آن را تغییر دهند. بسیاری از قالب‌ها و افزونه‌ها نیز برای توسعه امکانات خود از این سازوکار استفاده می‌کنند.
اگر داده‌های ورودی به‌درستی کنترل نشوند، احتمال دارد نام اکشن‌ها به شکلی ساخته شود که با اکشن دیگری تداخل داشته باشد. نسخه ۷.۱.۳ این ضعف را برطرف کرده است.
این مورد بیشتر به لایه فنی وردپرس مربوط می‌شود؛ اما اهمیت آن برای توسعه‌دهندگان قالب و افزونه نیز قابل توجه است.
علاوه بر اصلاحات امنیتی، چه تغییرات دیگری انجام شده است؟
وردپرس ۷.۱.۳ علاوه بر هفت اصلاح امنیتی، شامل چهار رفع اشکال نرم‌افزاری نیز هست. هدف این بخش از به‌روزرسانی، برطرف کردن ایرادهای شناسایی‌شده در عملکرد هسته وردپرس است.
این نسخه بیشتر یک به‌روزرسانی امنیتی و نگهداری محسوب می‌شود؛ بنابراین نباید انتظار اضافه شدن مجموعه بزرگی از قابلیت‌های جدید را از آن داشت.
اگر منتظر امکانات تازه هستید، بهتر است اطلاعیه نسخه‌های اصلی وردپرس را نیز دنبال کنید. در مقابل، اگر امنیت و پایداری سایت برایتان اولویت دارد، نسخه‌های اصلاحی مانند ۷.۱.۳ اهمیت زیادی دارند.
چگونه وردپرس را به نسخه ۷.۱.۳ به‌روزرسانی کنیم؟
به‌روزرسانی وردپرس معمولاً از طریق پیشخوان مدیریت انجام می‌شود.برای این کار می‌توانید آموزش آپدیت وردپرس را مشاهده کنید.
پس از ارتقا، صفحه اصلی، نوشته‌ها، فرم‌ها، ورود کاربران و بخش‌های مهم سایت را بررسی کنید. در فروشگاه‌های اینترنتی، صفحه محصول، سبد خرید و فرایند پرداخت نیز باید آزمایش شوند.
نکته مهم این است که به‌روزرسانی را بدون بررسی سازگاری قالب و افزونه‌های مهم انجام ندهید. در سایت‌های حساس یا پرترافیک، ابتدا نسخه پشتیبان تهیه کنید و در صورت امکان، به‌روزرسانی را در محیط آزمایشی بررسی کنید.
آیا لازم است همین حالا وردپرس سایت خود را به‌روزرسانی کنیم؟
اگر سایت شما از نسخه‌ای استفاده می‌کند که تحت تأثیر آسیب‌پذیری‌های اصلاح‌شده قرار دارد، به‌روزرسانی اهمیت بالایی دارد. با این حال، نسخه دقیق پیشنهادی باید بر اساس نسخه فعلی سایت و شاخه پشتیبانی‌شده وردپرس انتخاب شود.
برای تصمیم‌گیری بهتر، این موارد را در نظر بگیرید:
- نسخه وردپرس: بررسی کنید اکنون از چه نسخه‌ای استفاده می‌کنید و چه نسخه‌ای برای ارتقا پیشنهاد شده است.
- قالب سایت: مطمئن شوید قالب شما با نسخه جدید سازگار است و به‌روزرسانی‌های لازم را دریافت کرده است.
- افزونه‌ها: افزونه‌های فروشگاهی، امنیتی، سئو و صفحه‌ساز را بررسی کنید.
- نسخه پشتیبان: قبل از ارتقا، یک نسخه قابل بازیابی از سایت داشته باشید.
- آزمایش پس از ارتقا: بخش‌های مهم سایت را بررسی کنید تا مطمئن شوید عملکرد آن‌ها مختل نشده است.
اگر سایت شما با یک قالب قدیمی یا افزونه‌ای که مدت‌ها به‌روزرسانی نشده کار می‌کند، بهتر است پیش از ارتقا وضعیت سازگاری آن را بررسی کنید.
نقش قالب وردپرس در امنیت و عملکرد سایت
امنیت یک سایت وردپرسی فقط به نسخه هسته آن وابسته نیست. قالب، افزونه‌ها، تنظیمات سرور و شیوه مدیریت کاربران نیز در امنیت کلی سایت نقش دارند.
انتخاب یک قالب استاندارد که به‌صورت منظم به‌روزرسانی می‌شود، می‌تواند نگهداری سایت را آسان‌تر کند. هنگام انتخاب قالب نیز بهتر است به کیفیت کدنویسی، سازگاری با نسخه‌های جدید وردپرس، سرعت بارگذاری و پشتیبانی توسعه‌دهنده توجه داشته باشید.
اگر قصد راه‌اندازی یا بازطراحی سایت خود را دارید، می‌توانید مجموعه قالب‌های وردپرس رایگان را در لامرد وب بررسی کنید و پیش از نصب، امکانات و سازگاری قالب موردنظر را بسنجید.
همچنین اگر می‌خواهید مدیریت سایت، نصب قالب، کار با افزونه‌ها و به‌روزرسانی وردپرس را بهتر یاد بگیرید، مطالب آموزش وردپرس رایگان در لامرد وب می‌توانند نقطه شروع مناسبی برای یادگیری باشند.
جمع‌بندی؛ وردپرس ۷.۱.۳ را جدی بگیرید
انتشار وردپرس ۷.۱.۳ یکی از به‌روزرسانی‌های امنیتی مهم این سیستم مدیریت محتوا در اکتبر ۲۰۲۶ است. این نسخه هفت مشکل امنیتی را در بخش‌های مختلف هسته وردپرس برطرف می‌کند و چهار اصلاح نرم‌افزاری دیگر نیز دارد.
اگر مدیریت یک سایت وردپرسی را بر عهده دارید، بهتر است نسخه فعلی سایت خود را بررسی کنید، از اطلاعات نسخه پشتیبان تهیه کنید و در صورت سازگاری، به‌روزرسانی مناسب را نصب کنید.
در کنار به‌روزرسانی هسته وردپرس، استفاده از قالب و افزونه‌های معتبر، مدیریت صحیح سطح دسترسی کاربران و بررسی دوره‌ای امنیت سایت را نیز در برنامه نگهداری خود قرار دهید. این اقدامات در کنار هم به کاهش ریسک‌های امنیتی و حفظ پایداری وب‌سایت کمک می‌کنند.
