WooCommerce 5.7.0修补了有可能泄露分析报告的安全问题

本周早些时候，WooCommerce通过强制更新为一些用户提供了5.7.0版本。这个小版本没有被称为安全更新，但第二天WooCommerce发表了一篇文章，解释说该插件在某些主机配置上存在分析报告泄露的风险。

2021年9月21日，我们的团队发布了一个安全补丁，以解决一些主机使用的服务器配置设置，在适当的条件下，可能会使一些分析报告公开。

根据WPScan的数据，这在技术上被归类为一个破损的访问控制漏洞。

WordPress.org从9月21日开始向受影响的商店推送了一个自动更新，适用于所有没有明确禁止自动更新的网站。WooCommerce团队为18个回到4.0.0的版本创建了一个补丁，同时还有17个WooCommerce管理插件的补丁版本。那些文件系统被设置为只读的用户，或者正在运行比4.0.0更早的WooCommerce版本的用户将不会收到自动更新，应该继续手动更新他们的网站。

WooCommerce建议用户更新到最新的版本，现在是5.7.1，或你的发布分支中可能的最高数字。安全公告的文章有详细说明，店主可以检查他们的报告文件是否可能被下载。

超过500万的WordPress网站使用WooCommerce。在发布时，59.8%的网站运行在5.4或更早的版本上。只有12.8%使用最新的5.7.x版本。我们不可能看到有多少网站仍然存在漏洞，因为WordPress.org只显示用户安装的主要分支的分类。一些运行旧版本的网站所有者可能仍在积极应用安全补丁，但不准备更新到最新版本。

WooCommerce 5.7.1在今天早些时候发布，因为团队在5.7.0更新后收到了多个网站损坏的报告。该版本包括对前次更新中发现的回归和新的错误的修复。