WordPress 7.1.3 закрывает семь уязвимостей и исправляет сбой загрузки изображений

WordPress выпустил версию 7.1.3: в ней исправлены семь уязвимостей и четыре ошибки, в том числе критическая ошибка загрузки изображений. Как пишет Search Engine Journal в материале от 6 октября 2026 года, WordPress рекомендует обновить сайты немедленно. Сбой с изображениями мог возникать на хостингах, где нет необязательного расширения PHP DOM.

Семь уязвимостей: что известно

В список вошли хранимый XSS, проблема отказа в обслуживании (DoS) и SQL-инъекция второго порядка. Исправлены также возможность закреплять записи для пользователей с ролью Author, раскрытие комментариев без авторизации, XSS во встраиваемом контенте Imgur и проблема с подделкой параметров, которая может привести к совпадению имён действий.

Список затрагивает разные части сайта: права пользователей, доступ к комментариям и обработку встраиваемого контента. Но названия уязвимостей не позволяют оценить риск для каждого сайта по отдельности. В официальном анонсе нет подробного описания проблем, оценок серьёзности или баллов CVSS. Не сообщается и о том, используют ли эти уязвимости для атак на действующие сайты.

Поэтому рекомендацию обновиться сразу не стоит превращать в утверждение, что все семь проблем одинаково опасны или уже применяются злоумышленниками. Для владельца сайта главный вывод проще: WordPress выпустил исправления и советует установить их без промедления. Недостающих сведений об эксплуатации обновление не требует ждать.

Патчи безопасности переносят и в старые ветки, которым ещё положены такие исправления; сейчас этот диапазон простирается до WordPress 4.7. Работа пока не завершена: обновления для этих веток будут выходить по мере готовности. Анонс версии 7.1.3 сам по себе не означает, что патч уже доступен для каждой старой ветки.

Что мешало загружать изображения

Из четырёх исправленных ошибок три касаются неудобств в работе сайта. Две приводили к ответу 404 от адресов oEmbed — для платформы продвижения музыки и сайта с юмористическими открытками. Ещё одна могла растягивать изображение значка сайта в панели администратора до огромного размера.

Четвёртую ошибку в задаче WordPress оценили как критическую. На хостинге без расширения PHP DOM попытка загрузить изображение могла закончиться фатальной ошибкой: процесс останавливался, и файл не загружался. Это описание сбоя при добавлении медиафайла, а не сообщение о том, что весь сайт обязательно переставал работать.

Расширение ext-dom предоставляет классы DOMDocument и DOMXPath. WordPress настоятельно рекомендует его, но не требует. В версии 7.0 появился код, обращавшийся к DOMDocument без проверки, доступно ли расширение. Если его не было на хостинге, загрузка изображения могла прерываться.

Один из разработчиков ядра предположил, что проблема, вероятно, встречалась редко: от выпуска соответствующего кода до первого сообщения о сбое прошло 134 дня. Этот срок не показывает, сталкивались ли с ошибкой другие владельцы сайтов и почему о ней не сообщили раньше. Для отдельного сайта решающим условием остаётся отсутствие расширения.

Что делать владельцу сайта

Практические шаги после объявления об обновлении короткие:

• Установить доступное исправление WordPress.
• Если сайт на старой ветке, проверить, выпущен ли патч именно для неё.
• После обновления проверить загрузку изображения.
• Если загрузка прежде завершалась фатальной ошибкой, обсудить с техническим специалистом наличие ext-dom на хостинге.

Последний пункт не означает, что любая неудачная загрузка вызвана именно этой ошибкой. В материале описан конкретный случай: код обращался к DOMDocument там, где расширение отсутствовало. Такая проверка помогает не смешивать его с другими возможными причинами сбоя.

Моё мнение: патч и повседневная работа

Я делаю мебель на заказ и веду заявки через небольшой сайт. Для владельца проблема с загрузкой часто становится заметной только тогда, когда нужно поменять фотографии работ. В этот момент слова «фатальная ошибка» звучат страшнее, чем описанный результат: файл не добавляется, но из материала не следует, что весь сайт перестал открываться.

На мой взгляд, редкость этого сбоя — не повод откладывать обновление. В том же выпуске закрыты семь уязвимостей, а WordPress рекомендует установить патч сразу. Я бы обновил сайт и затем проверил привычное действие — добавление фотографии. Так понятнее, что исправление помогло работе, ради которой сайт и нужен.

Источники

Откуда новость. Текст — пересказ своими словами, факты — из источника, мнение — автора.

1. WordPress 7.1.3 Fixes 7 Vulnerabilities And 1 Critical Flaw via @sejournal, @martinibuster www.searchenginejournal.com

Об авторе

Хасан Гафуров

владелец мастерской мебели

Делаю мебель на заказ в Ташкенте и веду заявки через небольшой сайт. Когда выбираете CMS, подумайте, кто будет менять фотографии и цены через год, а не только как сайт выглядит на запуске.

Все публикации автора