Word­Press 7.1.3 ist da: Sicher­heits­up­date behebt meh­re­re Schwach­stel­len im Word­Press Core

Word­Press 7.1.3 wur­de am 6. Okto­ber 2026 ver­öf­fent­licht und ent­hält meh­re­re Sicher­heits­kor­rek­tu­ren, die Web­site-Betrei­ber ernst neh­men soll­ten.
Nach Anga­ben von WordPress.org behebt die Ver­si­on ver­schie­de­ne Sicher­heits­pro­ble­me im Word­Press Core. Dazu gehö­ren unter ande­rem Stored Cross-Site-Scrip­ting (XSS), ein Deni­al-of-Ser­vice-Pro­blem, eine Second-Order SQL Injec­tion und die nicht authen­ti­fi­zier­te Offen­le­gung von Kom­men­ta­ren zu pri­va­ten und unver­öf­fent­lich­ten Bei­trä­gen.

Word­Press stuft 7.1.3 aus­drück­lich als Secu­ri­ty Release ein und emp­fiehlt, Web­sites sofort zu aktua­li­sie­ren. Die offi­zi­el­le Doku­men­ta­ti­on führt ins­ge­samt sie­ben kon­kre­te Sicher­heits­pro­ble­me auf. Für älte­re betrof­fe­ne Word­Press-Zwei­ge wur­den die Sicher­heits­kor­rek­tu­ren laut Word­Press eben­falls bereit­ge­stellt.

Was genau behebt Word­Press 7.1.3, wel­che Sicher­heits­pro­ble­me wur­den geschlos­sen und was soll­ten Web­site-Betrei­ber jetzt tun?

Was behebt Word­Press 7.1.3?

Word­Press 7.1.3 behebt laut offi­zi­el­ler Doku­men­ta­ti­on meh­re­re Sicher­heits­pro­ble­me in unter­schied­li­chen Berei­chen des Word­Press Core. Betrof­fen sind unter ande­rem die Kom­men­tar­ver­wal­tung, HTTP-Funk­tio­nen, der WXR-Export, Benut­zer­be­rech­ti­gun­gen, der Zugriff auf Kom­men­ta­re nicht öffent­li­cher Bei­trä­ge sowie exter­ne Ein­bet­tun­gen.

Die Sicher­heits­kor­rek­tu­ren betref­fen damit unter­schied­li­che Angriffs­klas­sen und Funk­ti­ons­be­rei­che. Für Web­site-Betrei­ber ist ent­schei­dend, dass Word­Press die Ver­si­on aus­drück­lich als Sicher­heits­re­lease ein­stuft und zur sofor­ti­gen Aktua­li­sie­rung rät.

Die offi­zi­el­le Ver­si­ons­do­ku­men­ta­ti­on ver­öf­fent­licht kei­ne voll­stän­di­gen Exploit-Anlei­tun­gen. Des­halb soll­ten kon­kre­te Angriffs­sze­na­ri­en oder tech­ni­sche Vor­aus­set­zun­gen nicht über die von Word­Press bestä­tig­ten Infor­ma­tio­nen hin­aus inter­pre­tiert wer­den.

Wel­che Sicher­heits­pro­ble­me behebt Word­Press 7.1.3?

1. Stored XSS in der Word­Press-Kom­men­tar­ver­wal­tung

Word­Press 7.1.3 behebt eine Stored-XSS-Schwach­stel­le in der Admi­nis­tra­ti­ons­sei­te für Kom­men­ta­re. Laut Word­Press kann das Pro­blem über aus­ste­hen­de Kom­men­ta­re aus­ge­nutzt wer­den.

Gemel­det wur­de die Schwach­stel­le von Tho­mas Chau­che­fo­in von Trail of Bits.

Bei Stored Cross-Site-Scrip­ting kann schäd­li­cher Code grund­sätz­lich dau­er­haft gespei­chert und zu einem spä­te­ren Zeit­punkt im Brow­ser eines ande­ren Nut­zers aus­ge­führt wer­den. Im Unter­schied zu einer rein reflek­tier­ten XSS-Schwach­stel­le ver­bleibt die pro­ble­ma­ti­sche Ein­ga­be dabei zunächst im Sys­tem.

Wel­che kon­kre­ten Vor­aus­set­zun­gen bei Word­Press für eine erfolg­rei­che Aus­nut­zung erfor­der­lich sind, beschreibt die offi­zi­el­le Ver­si­ons­do­ku­men­ta­ti­on nicht näher.

2. Deni­al of Ser­vice in WP_Http::make_absolute_url()

Ein wei­te­res Sicher­heits­pro­blem betrifft WP_Http::make_absolute_url(). Word­Press bezeich­net die Schwach­stel­le als Deni­al-of-Ser­vice-Pro­blem.

Gemel­det wur­de das Pro­blem von Anthro­pic.

Ein Deni­al of Ser­vice zielt grund­sätz­lich dar­auf ab, die Ver­füg­bar­keit eines Sys­tems oder einer bestimm­ten Funk­ti­on zu beein­träch­ti­gen. Wel­che kon­kre­ten Vor­aus­set­zun­gen für eine Aus­nut­zung die­ser Schwach­stel­le erfüllt sein müs­sen, erläu­tert Word­Press in den Ver­si­ons­hin­wei­sen nicht.

3. Second-Order SQL Injec­tion im Word­Press-WXR-Export

Word­Press 7.1.3 kor­ri­giert außer­dem eine Second-Order SQL Injec­tion im WXR-Export. Auch die­ses Sicher­heits­pro­blem wur­de von Anthro­pic gemel­det.

Bei einer Second-Order SQL Injec­tion wird eine pro­ble­ma­ti­sche Ein­ga­be typi­scher­wei­se nicht unmit­tel­bar beim ers­ten Ver­ar­bei­tungs­schritt aus­ge­nutzt. Sie kann zunächst gespei­chert oder ver­ar­bei­tet wer­den und erst bei einer spä­te­ren Ver­wen­dung sicher­heits­re­le­vant wer­den.

Die kon­kre­te tech­ni­sche Angriffs­ket­te für den Word­Press-WXR-Export beschreibt die offi­zi­el­le Ver­si­ons­sei­te nicht.

4. Autoren konn­ten Bei­trä­ge als „sti­cky“ mar­kie­ren

Eine wei­te­re Sicher­heits­kor­rek­tur betrifft die Word­Press-Benut­zer­rol­le Autor. Laut Word­Press bestand ein Pro­blem, durch das Benut­zer mit die­ser Rol­le Bei­trä­ge als „sti­cky“ mar­kie­ren konn­ten.

Auch die­se Schwach­stel­le wur­de von Anthro­pic gemel­det.

Der Punkt zeigt, dass Sicher­heits­pro­ble­me nicht aus­schließ­lich klas­si­sche Angriffs­ka­te­go­rien wie XSS oder SQL Injec­tion betref­fen. Auch feh­ler­haf­te Berech­ti­gungs­prü­fun­gen kön­nen sicher­heits­re­le­vant sein, wenn Benut­zer Funk­tio­nen ver­wen­den kön­nen, die für ihre Rol­le nicht vor­ge­se­hen sind.

5. Kom­men­ta­re pri­va­ter und unver­öf­fent­lich­ter Bei­trä­ge konn­ten offen­ge­legt wer­den

Beson­ders rele­vant für den Schutz nicht öffent­li­cher Infor­ma­tio­nen ist eine wei­te­re Kor­rek­tur. Word­Press beschreibt das Pro­blem als nicht authen­ti­fi­zier­te Offen­le­gung von Kom­men­ta­ren zu pri­va­ten und unver­öf­fent­lich­ten Bei­trä­gen.

Gemel­det wur­de die Schwach­stel­le von Anan­da Dha­kal von Patch­stack.

Der Begriff „unau­then­ti­ca­ted“ bedeu­tet in die­sem Zusam­men­hang, dass laut der offi­zi­el­len Beschrei­bung kei­ne vor­he­ri­ge Authen­ti­fi­zie­rung erfor­der­lich ist. Die Ver­si­ons­do­ku­men­ta­ti­on nennt aller­dings kei­ne wei­ter­ge­hen­den Vor­aus­set­zun­gen oder eine kon­kre­te Angriffs­ket­te.

6. XSS bei Imgur-Embeds

Word­Press 7.1.3 behebt außer­dem eine XSS-Schwach­stel­le bei Imgur-Embeds.

Gemel­det wur­de das Pro­blem von Zhen­gyu Liu, Jing­ch­eng Yang und Gavin Zhong.

Damit betrifft das Sicher­heits­re­lease nicht aus­schließ­lich klas­si­sche Backend-Funk­tio­nen, son­dern auch die Ver­ar­bei­tung bezie­hungs­wei­se Ein­bet­tung exter­ner Inhal­te.

7. Mani­pu­lier­ba­re Para­me­ter beim {status}_{type}-Hook

Der sieb­te von Word­Press auf­ge­führ­te Sicher­heits­punkt betrifft mani­pu­lier­ba­re Para­me­ter beim {status}_{type}-Hook. Die­se kön­nen laut offi­zi­el­ler Doku­men­ta­ti­on zu einer Kol­li­si­on von Akti­ons­na­men füh­ren.

Gemel­det wur­de das Pro­blem von Alex Con­cha aus dem Word­Press-Sicher­heits­team.

Word­Press ver­öf­fent­licht auch zu die­sem Punkt kei­ne detail­lier­te Exploit-Beschrei­bung. Für Web­site-Betrei­ber ist daher vor allem rele­vant, dass die ent­spre­chen­de Kor­rek­tur Bestand­teil von Word­Press 7.1.3 ist.

War­um nennt Word­Press „one secu­ri­ty fix“, lis­tet aber sie­ben Sicher­heits­pro­ble­me auf?

In der offi­zi­el­len Doku­men­ta­ti­on zu Word­Press 7.1.3 fällt eine inhalt­li­che Dis­kre­panz auf. In der Zusam­men­fas­sung der Ver­si­ons­sei­te ist von „one secu­ri­ty fix“ die Rede. Unmit­tel­bar anschlie­ßend wer­den jedoch sie­ben unter­schied­li­che Sicher­heits­pro­ble­me auf­ge­führt.

Für eine prä­zi­se Ein­ord­nung soll­te des­halb nicht behaup­tet wer­den, Word­Press 7.1.3 behe­be ledig­lich eine ein­zel­ne Schwach­stel­le. Belast­bar ist die Aus­sa­ge, dass die offi­zi­el­le Word­Press-Doku­men­ta­ti­on sie­ben kon­kre­te Sicher­heits­pro­ble­me auf­führt.

Für Web­site-Betrei­ber ändert die­se Unstim­mig­keit nichts an der Hand­lungs­emp­feh­lung: Word­Press stuft Ver­si­on 7.1.3 als Secu­ri­ty Release ein und emp­fiehlt die sofor­ti­ge Aktua­li­sie­rung.

Wel­che Datei­en wur­den in Word­Press 7.1.3 geän­dert?

Der offi­zi­el­le Chan­ge­log für Word­Press 7.1.3 nennt neun über­ar­bei­te­te Core-Datei­en:

• /wp-admin/js/common.js
• /wp-admin/includes/export.php
• /wp-includes/rest-api/endpoints/class-wp-rest-posts-controller.php
• /wp-includes/class-wp-customize-manager.php
• /wp-includes/class-wp-customize-setting.php
• /wp-includes/class-wp-http.php
• /wp-includes/class-wp-oembed.php
• /wp-includes/class-wp-query.php
• /wp-includes/post.php

Zusätz­lich führt Word­Press aus, dass für die­ses Release kei­ne Packa­ges über­ar­bei­tet wur­den.

Die­se Anga­ben kön­nen für Ent­wick­ler und Admi­nis­tra­to­ren bei der tech­ni­schen Nach­voll­zieh­bar­keit des Updates hilf­reich sein. Sie soll­ten jedoch nicht als Emp­feh­lung ver­stan­den wer­den, ledig­lich ein­zel­ne Datei­en manu­ell aus­zu­tau­schen. Der regu­lä­re Word­Press-Update-Pro­zess ist der vor­ge­se­he­ne Weg.

Sind älte­re Word­Press-Ver­sio­nen eben­falls betrof­fen?

Word­Press erklärt, dass die Sicher­heits­kor­rek­tu­ren aus Kulanz auch für älte­re betrof­fe­ne Ver­si­ons­zwei­ge bereit­ge­stellt wur­den.

Die Ver­si­ons­sei­te zu Word­Press 7.1.3 ent­hält jedoch kei­ne voll­stän­di­ge Tabel­le, aus der für jedes ein­zel­ne Sicher­heits­pro­blem sämt­li­che betrof­fe­nen älte­ren Word­Press-Ver­sio­nen her­vor­ge­hen.

Des­halb soll­te aus der offi­zi­el­len Doku­men­ta­ti­on kei­ne kon­kre­te voll­stän­di­ge Lis­te betrof­fe­ner Alt­ver­sio­nen abge­lei­tet wer­den, wenn Word­Press die­se dort nicht selbst nennt.

Gleich­zei­tig weist das Word­Press-Pro­jekt aus­drück­lich dar­auf hin, dass nur die aktu­ells­te Word­Press-Ver­si­on aktiv unter­stützt wird.

Das ist ein wich­ti­ger Unter­schied: Die Bereit­stel­lung ein­zel­ner Sicher­heits­kor­rek­tu­ren für älte­re Ver­si­ons­zwei­ge bedeu­tet nicht, dass die­se den­sel­ben Sup­port­sta­tus besit­zen wie die aktu­el­le Word­Press-Ver­si­on.

Muss Word­Press 7.1.3 sofort instal­liert wer­den?

Ja, Word­Press emp­fiehlt aus­drück­lich, Web­sites sofort zu aktua­li­sie­ren.
Der Grund ist, dass es sich um ein Sicher­heits­re­lease han­delt.

Für pro­duk­ti­ve Unter­neh­mens­web­sites soll­te „sofort“ den­noch mit einem kon­trol­lier­ten Update-Pro­zess ver­bun­den wer­den. Ein Sicher­heits­up­date soll­te nicht unnö­tig ver­zö­gert wer­den, gleich­zei­tig soll­ten ein aktu­el­les Back­up und eine anschlie­ßen­de Funk­ti­ons­kon­trol­le Bestand­teil des Pro­zes­ses blei­ben.

Word­Press 7.1.3 sicher instal­lie­ren: Pra­xis­leit­fa­den

1. Voll­stän­di­ges Back­up erstel­len: Siche­re Datei­en und Daten­bank, bevor Ände­run­gen am pro­duk­ti­ven Sys­tem vor­ge­nom­men wer­den.
2. Aktu­el­len Ver­si­ons­stand prü­fen: Kon­trol­lie­re im Word­Press-Backend, wel­che Core-Ver­si­on tat­säch­lich instal­liert ist.
3. Plug­ins und The­mes prü­fen: Stel­le sicher, dass geschäfts­kri­ti­sche Erwei­te­run­gen und das akti­ve The­me aktu­ell sind und kei­ne bekann­ten Kom­pa­ti­bi­li­täts­pro­ble­me bestehen.
4. Word­Press aktua­li­sie­ren: Word­Press 7.1.3 kann über Dash­board > Aktua­li­sie­run­gen instal­liert wer­den.
5. Web­site tes­ten: Prü­fe nach dem Update Front­end, Backend, For­mu­la­re, Shop-Funk­tio­nen, Log­in, Suche und ande­re geschäfts­kri­ti­sche Pro­zes­se.
6. Ver­si­on kon­trol­lie­ren: Ver­ge­wis­se­re Dich, dass Word­Press 7.1.3 tat­säch­lich aktiv ist.
7. Update doku­men­tie­ren: Bei geschäfts­kri­ti­schen Web­sites soll­te nach­voll­zieh­bar doku­men­tiert wer­den, wann das Update durch­ge­führt und die Funk­ti­ons­kon­trol­le abge­schlos­sen wur­de.

Was bedeu­tet Word­Press 7.1.3 für Unter­neh­men?

Für Unter­neh­men ist Word­Press 7.1.3 vor allem ein wei­te­rer Hin­weis dar­auf, dass Word­Press-War­tung ein kon­ti­nu­ier­li­cher Sicher­heits­pro­zess sein muss. Eine Web­site kann äußer­lich pro­blem­los funk­tio­nie­ren und trotz­dem eine Core-Ver­si­on mit bekann­ten Sicher­heits­pro­ble­men ein­set­zen.

Ein pro­fes­sio­nel­les War­tungs­kon­zept soll­te des­halb min­des­tens Core-Updates, Plug­in- und The­me-Updates, regel­mä­ßi­ge Back­ups, Funk­ti­ons­prü­fun­gen und eine nach­voll­zieh­ba­re Update-Rou­ti­ne umfas­sen.

Beson­ders wich­tig ist dabei die Unter­schei­dung zwi­schen ein­zel­nen Sicher­heits-Back­ports und dem akti­ven Sup­port einer Word­Press-Ver­si­on. Dass Word­Press für eine kon­kre­te Schwach­stel­le Kor­rek­tu­ren für älte­re Ver­si­ons­zwei­ge bereit­stellt, bedeu­tet nicht, dass die­se älte­ren Ver­sio­nen gene­rell den­sel­ben Sup­port­sta­tus besit­zen wie die aktu­el­le Word­Press-Ver­si­on.

Fazit: Word­Press 7.1.3 soll­te zeit­nah instal­liert wer­den

Word­Press 7.1.3 ist kein gewöhn­li­ches War­tung­s­up­date, son­dern ein rele­van­tes Sicher­heits­re­lease.
Die offi­zi­el­le Word­Press-Doku­men­ta­ti­on führt sie­ben Sicher­heits­pro­ble­me auf, die unter­schied­li­che Berei­che des Word­Press Core betref­fen.

Dazu gehö­ren unter ande­rem Stored XSS in der Kom­men­tar­ver­wal­tung, eine Second-Order SQL Injec­tion im WXR-Export, ein Deni­al-of-Ser­vice-Pro­blem und die nicht authen­ti­fi­zier­te Offen­le­gung von Kom­men­ta­ren pri­va­ter und unver­öf­fent­lich­ter Bei­trä­ge.

Da Word­Press selbst die sofor­ti­ge Aktua­li­sie­rung emp­fiehlt, soll­ten Web­site-Betrei­ber ihren Ver­si­ons­stand jetzt kon­trol­lie­ren und Word­Press 7.1.3 mit einem kon­trol­lier­ten Back­up- und Prüf­pro­zess instal­lie­ren.

Die nach­hal­ti­ge­re Lösung bleibt jedoch ein kon­ti­nu­ier­li­cher War­tungs­pro­zess. Regel­mä­ßi­ge Updates, Back­ups und Funk­ti­ons­kon­trol­len gehö­ren zu den Grund­la­gen eines pro­fes­sio­nel­len Word­Press-Betriebs.

Möch­test Du Dei­ne Word­Press-Web­site tech­nisch aktu­ell hal­ten und Sicher­heits­up­dates kon­trol­liert ein­spie­len las­sen?
Wir unter­stüt­zen Dich bei Word­Press-War­tung, Updates, tech­ni­scher Opti­mie­rung und der lau­fen­den Betreu­ung Dei­ner Web­site.
Sprich uns ger­ne an.

Herz­li­che Grü­ße
Dein Team von Stra­te­gie­pool