本站提供Linux服务器运维，自动化脚本编写等服务，如有需要请联系博主微信：xiaozme
就在前几天，阿里云盾检测的时候，提示网站存在XSS漏洞，当时并没有太在意，后来在另外的博客再次看到文章证实了这个问题，而查看WordPress的更新记录也可得知的确存在XSS漏洞，建议广大站长朋友们升级到最新版，以下为详细内容。
WordPress官方在4月21日发布了新的版本4.1.2，其中提到修复了一个严重的存储型XSS漏洞。不久之后便有人给出了漏洞的细节。而安全研究团队Klikki Oy发现在，新版本（<=4.2）的Wordpress中仍然可以利用该漏洞。
XSS漏洞一
这次的XSS漏洞出现在wordpress的留言处，不过问题是由mysql的一个特性引起的。在mysql的utf8字符集中，一个字符由1~3个字节组成，对于大于3个字节的字符，mysql使用了utf8mb4的形式来存储。如果我们将一个utf8mb4字符插入到utf8编码的列中，那么在mysql的非strict mode下，他的做法是将后面的内容截断。
漏洞详情：
利用这一特点，作者发现了wordpress的这个xss漏洞。WordPress默认是utf8编码并且没有开启strict mode，如果我们加入一条这样的留言：
页面将显示为这样：
作者给出了一个利用的poc：
sometext
受影响的版本：WordPress 4.2及以下版本均受影响。
PS：其实小z对安全方面并不是很了解，此次漏洞主要是针对留言而造成，建议各位站长朋友们将WordPress升级到最新版，或者参考怎样有效的阻止WordPress垃圾评论一文来有效的阻止非中文评论。
原文来自：WordPress曝存储型XSS漏洞，影响4.2及以下版本
XSS漏洞出现在wordpress的留言处
这个漏洞已经修复很久了吧。
一看到代码我头就疼