WordPress 脆弱性とバージョン推移

このマイナーリリースには、
コアの15件のバグフィックスと
ブロックエディターの11件のバグフィックスが含まれます。
合計で 26 件のバグが修正されました。これらの修正により、WordPress の安定性と使い勝手が向上しています。

このマイナーリリースには、
コアの7件のバグフィックスと
ブロックエディターの9件のバグフィックスが含まれます。

• ブロックテーマにさらなるデザインオプション
• サイトエディターでの新しいページレイアウトによるワークフローの簡素化
• 安心のプラグイン自動更新
• 同期パターンのコンテンツのカスタマイズ
• パフォーマンスとアクセシビリティの向上

(Tommy Dorsey)トミー・ドーシー（1905/11/19-1956/11/26）は、アメリカのジャズ・トロンボーン、ジャズ・トランペット奏者、バンドリーダー。
結成した年にヒット曲を生み、ビルボードチャートには計137回もヒットした。
その中には彼のテーマソングである「I’m Getting Sentimental Over You」の他、「On the Sunny Side of the Street」「T. D.’s Boogie Woogie」「Well, Git ‘It」「Opus One」「Manhattan Serenade」などがある。
合計で17回シングルで1位を獲得、「I’ll Never Smile Again」は1940年に売上1位を12週連続、1943年には「In the Blue of Evening」でポップシングルチャート1位を3週連続達成した。

出典:Wikipedia

• ➡️ 6.5.5

• コア部分における5件のバグ修正。

• メンテナンス
• コア部分における12件のバグ修正。
• 「Block Editor」に関する9件のバグを修正。

• セキュリティ修正：クロスサイトスクリプティング
  （XSS）の脆弱性1件に対処。
• コア部分における2件のバグ修正。
• 「Block Editor」に関する12件のバグを修正。

• 管理画面での変更(一般設定でサイトアイコンが設定できる)
• ブロックエディタの変更点：ほとんどのブロックで名前の変更ができる
• リストビューのオプションメニューが右クリックで表示
• ブロックの左右にドラッグアンドドロップすると横並びに
• リスト項目にパディング・マージンの指定が可能に
• カバーブロックにアスペクト比が追加
• カラム / 画像ブロックにドロップシャドウが使える
• ボタンブロックのリンクに nofollow の指定ができる
• 引用ブロックでブロックの間隔が指定できる
• フォントライブラリ：
  「スタイル」のタイポグラフィーに「フォントの管理」が追加されています。
  テーマが持っているフォントの一覧、ローカルからのフォントファイルのアップロード、Googleフォントのインストールが可能になります。
• リンクコントロールの改良：
  合理化された UI やリンクをコピーするショートカットなど、より直感的なリンク構築体験が提供され、
  簡単にリンクを作成、管理できます。

(Regina Carter)
レジーナ・カーター（1966年8月6日生まれ）は、アメリカのジャズヴァイオリニストです。
彼女はジャズ・サックス奏者のジェームス・カーターのいとこです。

出典:Wikipedia

• 管理画面の変更(「新規追加」リンクの目的が明確に表示)
• 新規インストールの環境で添付ファイルページが無効に
• ブロックエディターの変更(画像ブロックにLightbox機能追加)
• リストビューに画像プレビューが表示されるように
• グループブロックに名前を付けられるように
• グループブロックに背景画像を設定できるように
• ソーシャルリンクアイコンに「X」と「Threads」が追加
• パターンの変更点(カテゴリーで管理できるように)
• インサーターにフィルターの追加
• [ブロックテーマ] パターンのエクスポート・インポートが可能に

(Shirley Horn)
アメリカのジャズ歌手にしてピアニストであるシャーリー・ホーン
彼女は、マイルス・デイヴィス、ディジー・ガレスピー、トゥーツ・シールマンス、ロン・カーター、カーメン・マクレエ、ウィントン・マルサリスなど、
多くのジャズ・ミュージシャンとコラボレーションを行った。
彼女は、ほとんど比べる者がいないほどの独創性、
歌いながらピアノを弾く能力。
アレンジャーのジョニー・マンデルが「2つの頭を持っているような」と表現した
何か、豊かで瑞々しい声、煙のようなコントラルトによって最も有名であった。

出典:Wikipedia

Lionel Hampton「ライオネル」は、
著名なアメリカ人ジャズアーティスト、
ライオネル・ハンプトンにちなんで名付けられました。
多作なジャズヴィブラフォン奏者、ピアニスト、パーカッショニストである
偉大なミュージシャンたちとハーモニーを奏で、
その名を冠したライオネル・ハンプトン・オーケストラのバンドリーダーとして有名になりました。

出典:https://ja.wordpress.org/category/releases/

• ユーザーの電子メール アドレスの開示の可能性に対応
• RCE POP Chains の脆弱性に対応
• ポスト リンク ナビゲーション ブロックのXSS 問題に対応
• 非公開の投稿へのコメントが他のユーザーに漏洩する可能性がある問題に対応
• ログインしたユーザーがショートコードを実行する方法に対応
• 脚注ブロックの XSS 脆弱性に対応
• キャッシュ ポイズニング DoS 脆弱性に対応

エリック・ドルフィー（Eric Allan Dolphy, Jr.）は、アメリカ合衆国のジャズ・ミュージシャン。
マルチ・リード奏者として、卓越した技巧と特異なアドリブ・フレーズを持ち、それまで主にクラシック音楽界で使用されていたバス・クラリネットをジャズの独奏楽器として用い、後のジャズ奏者に多大な影響を与えた。
演奏にはおもにバス・クラリネット、アルト・サックス、フルートを用いたが、クラリネットやピッコロも演奏した。
その独特な音楽観から、時にフリー・ジャズに分類されることもあるが、基本的には音楽理論に則りアドリブを展開していくスタイルである。

出典: フリー百科事典『ウィキペディア（Wikipedia）

• 8 件のセキュリティ修正。
• Core に関する 19 件のバグ修正
• ブロック エディターに関する 22 件のバグ修正

ミシャ・アルペリン
Mikhail Alperinはピアニスト、
ミハイル・ジェフィモヴィッチ・アルペリン
(ウクライナ語: Миха́йло Юхи́мович Альпе́рін; 1956 年 11 月 7 日 – 2018 年 5 月 11 日) は、
モスクワ アート トリオの主要メンバーとして知られる、ソビエトとノルウェーのジャズピアニストでした。

引用元：出典: フリー百科事典『ウィキペディア（Wikipedia）（英語版）

アルトゥーロ・オファリル
Arturo O’Farrillはジャズミュージシャンで、
ラテンのジャズミュージシャンの息子であり、
アレンジャーでバンドリーダーのChico O’Farrillであり、
ピアニスト、作曲家、
アフロラテンジャズオーケストラのディレクターでもあります。

引用元：出典: フリー百科事典『ウィキペディア（Wikipedia）（英語版）

Joséphine
国際的なジャズ歌手のジョセフィンベーカーにちなんで名付けられた
ジョセフィン・ベイカー（Josephine Baker、
1906年6月3日 – 1975年4月12日）は、
アメリカ・セントルイス出身のジャズ歌手・女優である。
フランス語読みで「ジョゼフィーヌ・バケル」とも呼ばれる。

引用元：出典: フリー百科事典『ウィキペディア（Wikipedia）

1. XSSの問題（ポストスラッグを介して保存）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性

• 5.6の目玉機能としては
  • メニューのブロック化
  • コアの自動メジャーアップデート
  • 新デフォルトテーマ
  • フルサイトエディッティング※のベータ導入
  • PHP8のサポート

※.フルサイトエディッティングのベータ導入：
ブロックベーステーマ (実験レベル)
「ブロックベーステーマ」は、
「フルサイトエディティング」(Full Site Editing)、
または「ブロックコンテントエリア」(Block Content Area) とも呼ばれ、
これらの機能はまだプラグインの実験レベルの機能です。

ニーナ・シモンは、アメリカ合衆国のアフロアメリカンのジャズ歌手、フォーク、ブルース、R&B、ゴスペル歌手、ピアニスト、公民権活動家、市民運動家である。
本名はユニース・キャスリン・ウェイモン。
スタンダード・ナンバー「悲しき願い」のオリジナル歌手として知られる
出典：フリー百科事典『ウィキペディア（Wikipedia）』

1. XSSの問題（ポストスラッグを介して保存）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性

ブロックエディタ（Gutenberg）
• ブロックカテゴリの変更：デフォルトのブロックカテゴリが、
  「テキスト」「メディア」「デザイン」「ウィジェット」「埋め込み」に変更されました。
• ブロックアイコン一部変更：　「見出し」「カバー」「動画」
  「グループ」「アーカイブ」「カレンダー」「カテゴリ」
  「最新のコメント」「タグクラウド」の変更
• ブロックパターンの追加
  ブロックを1つだけ使用するのではなく
  いくつものブロックを組み合わせて使用する為に、
  簡単にブロックを組み合わせたデザイン・レイアウトを
  1クリックで利用できる「ブロックパターン」が用意されました。
  これは、concrete5のスタック(stackのほんの一部ですが)と似た機能の様です。
• 再利用ブロックタブ
  今まではブロック選択する所の一番下にありましたが、
  再利用ブロックタブから探せるようになりました。
• プレビュー
  公開ページ確認用以外で、 作業用の画面サイズ：
  「デスクトップ」(デフォルト)「タブレット」(780px)「モバイル」(360px)を選択できるようになりました。
  これは、テーマCocoonのAdmin権限で、既に実現できていたものに近いですね。
• 画像編集
  画像ブロックで設置した画像をダイレクトに
  アスペクト比、ズームレベル、回転、および位置を調整することができるようになりました。
• ブロック：コピーアクションの追加
  ブロックのHTMLをコピーできるようになりました。
• インラインフォーマット
  テキストを下付きや上付きにする新しい書式設定オプションが追加されています。
• カバーブロック
  テキスト部分の垂直方向と水平方向の配置を調整することができる様になりました。
• マルチブロックコントロール
  同じタイプの複数のブロックを選択すると、それらの属性を一度に変更できるようになりました。
  これも、Cocoonの「ブロックエディターの複数ブロックをグループブロックを使ってまとめて装飾する方法」に近いですね。
• ブロックディレクトリ
  ブロック選択画面上で 新しいブロックを検索して その場でインストール すぐ利用できるようになりました。

プラグインとテーマの自動更新
• 5.5から プラグインとテーマも自動更新できるようになりました。
  全てのプラグインとテーマが自動更新になるのではなく、
  それぞれ個別に 自動更新する/しないを選択できます。
  ※.デフォルトは「自動更新しない」になっています。

Lazy Loading（遅延読込）
画面をスクロールするまで見えてない画像などが必要になるまで、読み込みを遅延させることで、
無駄な読み込みを抑え、表示（動作）が遅くなるのを防ぎます。
• 5.5から imgタグとiframeタグに「loading=”lazy”」タグ が自動で追加されます。
  この「loading」とはブラウザ側で遅延ロードをサポートするもので、img要素やiframe要素に対応しています。
  「loading=”lazy”」は、ウェブ標準 となり、
  ブラウザではChoromeとEdge、Firefox等がサポートしています。
  ※.昔の記事で、imgやiframeタグが付いている場合でも再編集しなくても良さそうです。
  ※.既にプラグインやJavascript等で設置している場合は、どうするか確認する必要があります。
  テーマ CocoonでもLazy Loadingは、早くから実装済みです。
  私は、Lazy Loadingプラグインは、導入していません。

コアサイトマップ　WordPress標準でサイトマップが作られる様になりました。
• URLは、「https://ドメイン/wp-sitemap.xml」です。
  ※.sitemap.xmlでない所に注意してください。
  対象はトップページ、投稿ページ、固定ページ、タグ、カテゴリ、
  カスタム投稿タイプ、カスタム分類、著者アーカイブです。
  細かい設定はアクションフィルタで行います。
  ※.プラグインのようにサイトマップ管理画面はありません。
  ※.サイトマップに登録する情報が URL (locタグ）だけ、
  更新日時を示すlastmodは入りません（changefreq や priority も入りませんが、Google は見ていないので）
  現時点では、このlastmodが入らないことで、
  「Google XML Sitemaps」などのプラグインが必要な方もいらっしゃるでしょうネ。
  私は、できるだけプラグインに頼らない運用をしています。

jQueryバージョンの更新（開発者向け）
• jQuery変更は影響が大きいですので、段階的な変更になる様です。
• 5.5　jQuery Migrate(新旧バージョン差異を解決するjQuery)を削除
• 5.6　jQuery Migrate、jQuery UIの変更(予定)
• 5.7　jQuery Migrateを削除(予定)

1914年7月8日生まれ、米・ペンシルヴェニア州ピッツバーグ出身のジャズ・ヴォーカリスト。
本名はウィリアム・クラレンス・エクスタイン。“ミスターB”の愛称で親しまれたバリトン歌手手として著名。
ハワード大学在学中にタレント・コンテストに優勝し、ナイトクラブで歌い始める。
アール・ハインズ楽団の専属歌手として活躍すると、44年に自身のバンドを結成。
チャーリー・パーカー、ディジー・ガレスピー、マイルス・デイヴィス、デクスター・ゴードン、アート・ブレイキーらと
共にその後のモダン・ジャズに大きな影響を与え、ビーバップ・スタイルの歌を広めることに成功。
出典：TOWER RECORDS ONLINE

1. XSSの問題（ポストスラッグを介して保存）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性

セキュリティ（6つの問題点対応）
1. 権限の低い認証済みユーザがブロックエディタの投稿で
   JavaScriptを追加できるXSS問題
2. アップロード権限を持つユーザがメディアファイルに
   JavaScriptを追加できるXSS問題
3. wp_validate_redirect() のオープンリダイレクトの問題
4. テーマアップロードで認証済みXSSの問題
5. セットスクリーンオプション（set-screen-option）が
   プラグインによって悪用されて権限昇格されうる問題
6. 特定の条件下で、パスワード保護された
   投稿やページのコメントが表示されうる問題

ブロックエディター関連
• ウェルカムメッセージがリニューアル
• 「編集モード」と「選択モード」の切り替えが可能
• エディターの左下で現在編集中のブロックまでの構造が表示される
• フルスクリーン表示がデフォルトで有効に
• ソーシャルアイコンブロックが追加
• インラインのテキストカラーを自由に変更できる
• グループブロックでテキスト色が設定できる
• カラムブロックで文字色・背景色が設定できる
• ボタンブロックの変更点
• カバーブロックでもグラデーションが可能に
• グラデーション API（背景色のグラデーション追加）
• 表ブロックにキャプションが追加できる
• メディアと文章ブロックの画像部分がリンク化できる
• 画像の入れ替えボタンがテキスト表示になった
• スマホで見た時、ブロックツールバー上部に固定される

1. XSSの問題（ポストスラッグを介して保存）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性

ブロックエディターの新機能
• グループブロックの追加
• ブロック追加前にプレビューが表示される
• 見出しブロックでテキスト色を変更できる
• ボタンの角の丸みを調整できる
• 列ブロックにレイアウトメニューが追加
• カバーブロックで背景色を選択できる
• テーブルブロックの機能強化
• プルクオートのデザイン変更
• ギャラリー画像の並び替えが可能に
• 記事状態の変更時に通知が表示される

パフォーマンス改善
• WordPress5.2からすると読み込みが1秒近く改善

大きなサイズの画像を自動でリサイズする
• 2560px以上の画像をアップロードした場合、自動でリサイズが行われる

PHP7.4への対応(開発者向けの変更・改善)
• まだ完全に対応できているわけではない様ですが、今後のバージョンアップを通して完全にサポートすることを目指しているとのこと

1. XSSの問題（ポストスラッグを介して保存）
2. オブジェクトインジェクションの問題（一部のマルチサイトインストールで）
3. WP_QueryのSQLインジェクションの脆弱性
4. WP_Meta_QueryのSQLインジェクションの脆弱性