Rilascio di WordPress 7.1.1: versione di manutenzione e sicurezza

Questa è la traduzione dell’articolo “WordPress 7.1.1 Maintenance and Security Release” presente nel blog Make di WordPress.org.

Pubblicato il 17 settembre 2026 da Aaron Jorbin, nelle categorie Rilasci e Sicurezza.

Questa versione di sicurezza e manutenzione include 17 correzioni di bug per il core, 19 correzioni di bug per l’editor a blocchi e 11 correzioni di sicurezza.

Trattandosi di una versione di sicurezza, si consiglia di aggiornare subito i propri siti.

Puoi scaricare WordPress 7.1.1 da WordPress.org oppure accedere alla Bacheca di WordPress, fare clic su «Aggiornamenti» e poi su «Aggiorna ora». Se i tuoi siti supportano gli aggiornamenti automatici in background, il processo di aggiornamento partirà da solo.

WordPress 7.1.1 è una versione a ciclo breve. La prossima versione principale sarà la 7.2 ed è attualmente prevista per dicembre.

Per maggiori informazioni, visita la pagina di WordPress 7.1.1 su HelpHub.

Aggiornamenti di sicurezza inclusi in questa versione

Il team di sicurezza ringrazia le persone seguenti per aver segnalato le vulnerabilità in modo responsabile, permettendo di correggerle in questa versione:

Cross-site scripting (XSS) memorizzato in wpautop(): consente a un visitatore non autenticato di inserire script (previa approvazione del commento). Segnalato da Rafie Muhammad (Awesome Motive, Inc.).
API HTML: set_modifiable_text() consente di uscire da un commento tramite sequenze di chiusura anomale. Segnalato da Jeremy Felt del team di sicurezza di WordPress.
XSS memorizzato in alcuni temi che supportano le intestazioni personalizzate. Segnalato da Jeremy Felt del team di sicurezza di WordPress.
URL appositamente costruiti possono installare e mostrare in anteprima, in automatico, un tema non attivo da WordPress.org. Segnalato da Paulos Yibelo e pwn.ai.
Un amministratore del sito può attivare a livello di rete un plugin installato riservato alla rete. Segnalato da Jesse McNeil.
Path traversal autenticato nel controller dei template REST di WP. Segnalato da Anthropic.
XML-RPC può essere usato per pubblicare articoli customize_changeset aggirando i controlli su edit_css. Segnalato da Ben Bidner del team di sicurezza di WordPress.
Sovrascrittura arbitraria di articoli da parte di utenti con ruolo di Collaboratore o superiore. Segnalato da Anthropic.
La mancanza del controllo read_post in attachment_submitbox_metadata() rivela il titolo di un articolo genitore privato. Segnalato da HDWSec.
La mancanza di autorizzazione consente a utenti con ruolo di Collaboratore o superiore di conoscere lo slug di articoli in bozza o in attesa di revisione. Segnalato da Jakub Herman.
I commenti, comprese le note, possono essere assegnati a un altro genitore da qualsiasi utente autenticato. Segnalato da Justin Hart, Viridis Security.

Grazie ai collaboratori di WordPress

Questa versione è stata guidata da Adam Silverstein, Adrian Duffell, Andrei Draganescu e Aaron Jorbin.

WordPress 7.1.1 non sarebbe stato possibile senza il contributo delle persone seguenti. Il loro coordinamento asincrono per portare correzioni di manutenzione e di sicurezza in una versione stabile è la prova della forza e delle capacità della community di WordPress.

Aaron Jorbin, abrahamfariaz, Adam Silverstein, Adi Moldovan, Adrian Duffell, Aki Hamano, Alex Concha, Andrea Fercia, andreasca, Andrei Draganescu, Andrew Duthie, Andrew Serong, André Maneiro, annezazu, Anthony White, Arkaprabha Chowdhury, Ashar Fuadi, Azragh, Barry, buffer1024, Chunhui Ouyang, Courtney Robertson, Dagan, Daniel Richards, Daniel Rodriguez, Darshit Rajyaguru, David Biňovec, Deepak Kumar, Dennis Snell, DevSaiful, Dhruvang21, Dominik Schilling, Ehtisham Siddiqui, Ella Van Durpe, Erick Wambua, FahimMurshed, Fernando Tellado, fiocavallari, George Mamadashvili, George Vasiliades, gregbenz, Harish Tewari, Hit Bhalodia, Isabel Brison, Jake Spurlock, Jamie Dąbrowiecki, Jb Audras, Jeffrey Paul, Jeremy Felt, Jiwoon Kim, Joe Dolson, Joe Hoyle, Joe McGill, Joen Asmussen, Johannes Jülg, John Blackbourn, Jon Surrell, Jonathan Desrosiers, Josh, Kamran Abdul Aziz, Khokan Sardar, Kira Schroder, kleisauke, Kushagra Goyal, l1onofjudah, Lance Willett, luksusspokoju, Manzoor Wani, Marco Ciampini, marcs0h, Marin Atanasov, Michael, Mohammad Jangda, mrkenobi, Mukesh Panchal, Nawazkhan Pathan, Nik Tsekouras, Parth Jogi, Pascal Birchler, Paul Biron, Paul Kevan, Peter Wilson, Rafie Muhammad, ramonopoly, Rashed Hossain, Ressl, Riad Benguella, Rudy Faile, Sainath Poojary, Scott Kingsley Clark, Sergey Biryukov, Shail Mehta, Shameem – a11n, siliconforks, Slava Abakumov, Stephen Bernhardt, Sukhendu Sekhar Guria, Ugyen Dorji, Utsav Ladani, vortfu, Weston Ruter, w3bdsgn, wolf45, oltre a rappresentanti di Automattic, Bluehost, GoDaddy, Pantheon e WP Engine.

Backport

Per cortesia, le correzioni di sicurezza vengono portate, dove necessario, in tutti i rami idonei a riceverle (attualmente fino alla 4.7). Ricorda che solo la versione più recente di WordPress è supportata attivamente. I backport sono in corso e verranno rilasciati man mano che saranno pronti.

Come contribuire

Per partecipare allo sviluppo del core di WordPress, vai su Trac, scegli un ticket e unisciti alla conversazione nel canale #core. Hai bisogno di aiuto? Consulta l’Handbook del Contributore del Core (Core Contributor Handbook).

Un ringraziamento a Ehtisham Siddiqui, Lance Willett, Weston Ruter e Adam Silverstein per la revisione dei testi.