Que corrige WordPress 7.1.3 ?
Sept failles de sécurité et quatre bugs. La version est publiée depuis le 6 octobre 2026, et l’équipe du projet demande de mettre à jour ses sites immédiatement. Les correctifs de sécurité sont rétroportés vers toutes les branches encore éligibles, jusqu’à la 4.7.
Jake Spurlock a conduit cette version de maintenance. Elle arrive deux semaines après la 7.1.2 du 22 septembre, qui ne contenait qu’un correctif critique et que détaille notre article sur la faille critique de WordPress 7.1.2. Avec la 7.1.1 du 17 septembre, cela fait trois versions de maintenance en moins d’un mois. Pour un site vitrine géré par un indépendant ou une petite entreprise, ce n’est pas une formalité. Chaque passage suppose une sauvegarde complète, puis un contrôle des pages clés et des extensions. Les quatre bugs corrigés ne sont pas décrits dans l’annonce, qui renvoie au ticket de suivi du projet.
Sept failles, des découvreurs inattendus
L’annonce officielle détaille chaque faille et l’équipe ou la personne qui l’a signalée :
- une faille XSS stockée sur la page d’administration des commentaires, exploitable par un commentaire en attente — signalée par Trail of Bits, avec OpenAI ;
- un déni de service dans la méthode WP_Http::make_absolute_url() — signalé par Anthropic ;
- une injection SQL de second ordre dans l’export WXR — signalée par Anthropic ;
- une faiblesse qui permet à un utilisateur au rôle Auteur d’épingler des articles — signalée par Anthropic ;
- la divulgation, sans authentification, de commentaires publiés sous des articles privés ou non publiés — signalée par Ananda Dhakal, de Patchstack ;
- une faille XSS dans les contenus Imgur intégrés — signalée par Zhengyu Liu, Jingcheng Yang et Gavin Zhong ;
- des paramètres falsifiables transmis au hook {status}_{type}, source de collisions entre noms d’actions — signalés par Alex Concha, de l’équipe sécurité de WordPress.
Toutes ne pèsent pas le même poids selon le site. La faille XSS des commentaires concerne d’abord les sites qui laissent les commentaires ouverts. Son point d’entrée est un commentaire en attente de modération, donc un contenu qu’un simple visiteur peut déposer. La fuite de commentaires touche les sites qui préparent des contenus non publiés ou réservent des articles privés à une clientèle. L’injection SQL passe par l’export WXR, l’outil qui sert à migrer un site ou à en garder une copie. Trois des sept signalements viennent d’Anthropic, un quatrième de Trail of Bits travaillant avec OpenAI. Des sociétés d’intelligence artificielle figurent désormais parmi les découvreurs de failles du cœur de WordPress.
Mettre à jour vers WordPress 7.1.3 : la marche à suivre
Trois voies existent. Les sites dont les mises à jour automatiques en arrière-plan sont actives passent seuls en 7.1.3. Les autres se mettent à jour depuis le tableau de bord, rubrique Mises à jour, avec le bouton « Mettre à jour maintenant ». L’archive peut aussi se télécharger sur WordPress.org pour une installation manuelle. Dans tous les cas, il faut vérifier le numéro de version une fois l’opération terminée. Un hébergeur ou une extension de maintenance peut avoir coupé les mises à jour automatiques à l’insu du propriétaire du site. Les rétroportages vers les anciennes branches sont en cours. Ils sortiront au fil de l’eau, sans calendrier publié. L’équipe le rappelle : seule la version la plus récente de WordPress est activement maintenue. Un site resté sur une vieille branche reçoit les correctifs de sécurité, pas les corrections de bugs. Planifier une vraie montée de version vaut mieux que de dépendre indéfiniment de ces rétroportages.