ACF插件被禁止访问WordPress.org带来的影响

当 WP Engine 被禁止访问 WordPress.org 时，用户不禁想知道 ACF（高级自定义字段）的未来会怎样，以及这项禁令将如何影响他们的网站未来发展。

ACF 被 WordPress.org 屏蔽

2024 年 10 月 3 日，ACF（高级自定义字段）通过 X宣布“ACF 团队已被禁止访问 WordPress dot org，无法发布 ACF 免费版本的更新。” 

ACF 插件的所有者 WP Engine 此前被禁止访问 WordPress.org，这导致 ACF 团队无法为平台上托管的免费版本部署更新。因此，用户无法自动将 ACF 更新到较新的版本。为了帮助用户，ACF 团队分享了一份指南，以手动更新到插件的最新版本。

不过，WP Engine 或 Flywheel 的客户仍可收到免费版本的自动更新。ACF 团队向用户保证：“近期事件不会影响 ACF PRO 的客户。ACF PRO 的所有更新将继续通过 advancedcustomfields.com 提供，无需采取任何行动。”

他们还指出，“虽然 ACF 没有待处理的安全更新，但这种替代更新机制可确保您的网站随时可以接收新功能、错误修复和安全更新。”

Automattic 的漏洞公告

然而，Automattic 很快就在推特上发布了有关该插件存在漏洞的消息。该推文随后被删除。 

作为回应，WordPress 核心安全团队负责人 John Blackbourn在推特上表示：“Automattic 负责任地披露了 ACF 中的漏洞，但不负责任地公开宣布这一漏洞违反了 @Intigriti 行为准则。如果漏洞影响到 ACF 的免费版本，我将尽我最大的努力确保修复程序能够发送到 dotorg。” 

Matt Mullenweg 对 ACF 的评论

此前，Matt Mullenweg 曾在 WordPress Slack频道中提出将 ACF Pro 集成到 WordPress 核心的想法。 

10 月 5 日，Matt Mullenweg发推文称：“对于想要放弃高级自定义字段 @wp_acf 的人来说，最好的替代方案是什么？有没有简单的迁移方法？我估计未来几周将有数百万个网站放弃它。”

然而，他收到的大多数回复都对该插件表示赞赏。

与此同时，另一个开源 CMS Ghost 也加入了竞争，问道“那么我们应该添加自定义字段吗？” 

ACF 6.3.8 发布

ACF 团队表示，他们已经发布了ACF 6.3.8，这是一个例行安全版本。他们表示：“WP Engine 仍然无法访问 .org 插件存储库中的插件，因此此更新已发送到 WP Engine 的存储库和 ACF 网站。”

此最新版本包含针对帖子类型和分类元框回调的安全修复。此漏洞解决了以下不太可能出现的情况：具有 ACF 管理员权限的用户攻击具有创建或修改帖子权限的其他管理员用户，或者在多站点配置中，单个站点管理员试图利用超级管理员来修改或添加新帖子。

Iain Poulson，高级自定义字段产品经理

他们还分享道：“一旦手动更新至 6.3.8，更新将照常出现在管理仪表板中。不再需要手动 zip 更新。”

该团队还表示，“我们向 WordPress.org 安全团队提供了更新的副本，他们已将其发布到插件存储库。”

其他更新

在相关新闻中，WP Tavern 的前作者 Sarah Gooding 发表了《WordPress 21 年》。“我不完全同意 Matt 处理此事的方式，但我不会支持任何没有他的领导力作为先行者的治理模式。WordPress 是他一生的工作和遗产。没有一种委员会设计模式会给你带来我们迄今为止在 WordPress 上体验到的一致、果断、不间断的前进动力。经过 21 年的努力，我相信 Matt 是带领该项目向前发展的唯一人选。他的领导力创造了真正非凡的东西。”

Kaelon在推特上表示，“WordPress 正进入‘创始人末期’。”他给 WP 和 Matt 的建议包括：“不要背叛你的员工”、“让创始人退后一步”和“重新发明”。

WP Minute 的 Eric Karkovack 发表了《私募股权和 WordPress 的灵魂》。他说：“也许拥有一些私募股权拥有的 WordPress 产品并不是什么大事……真正的威胁是由少数几家大公司控制的生态系统……不过，这只是潜在灾难的一半。短期内参与其中的公司可能不会被迫回报 WordPress 核心。”