WordPress 7.1.4 は 22 件のセキュリティ修正を含む短周期リリース。完全パッケージ更新では新コアを upgrade フォルダ内の予測可能なパスへ展開するため、未認証の攻撃者が抽出処理との競合に勝てばリモートコード実行に至りうる（GHSA-4w3m-c66w-69mg、GitHub 上の深刻度 Low）。Contributor 以上の蓄積型 XSS が Interactivity API のバインディング、Customizer の selective refresh、Categories / Image / Playlist / Comments Pagination 系ブロック、個人データ消去リクエスト画面などに散在する。Interactivity API まわりの XSS とサービス拒否は GHSA-83c2-c4pc-wmp3 で High。未公開 Customizer changeset の未認証閲覧（GHSA-p2r6-rwjp-phv3）、コメントモデレート権限のみのカスタムロールによる投稿ノートの読み書き（GHSA-vchg-92fx-636p）、マルチサイト Network Users 画面のユーザー名エスケープ硬化（GHSA-j3rg-rwgx-7wx7）も含む。GitHub Security Advisory 側では各項目に CVE ID の割当はなく、一部は No known CVE と記載される。
影響は利用中のメジャー／マイナーブランチごとに件数が異なる。7.0 系と 6.9 系は 22 件すべて、6.8 系と 6.7 系は 20 件、6.6 系は 19 件、6.5 系と 6.4 系は 17 件、6.3 系から 5.9 系は 9 件、5.8 系から 5.0 系は 6 件、4.9 系は 4 件、4.8 系と 4.7 系は 2 件。4.6 以前はセキュリティ更新の対象外。
| ブランチ | 修正版 |
|---|---|
| 7.1 | 7.1.4 |
| 7.0 | 7.0.8 |
| 6.9 | 6.9.11 |
| 6.8 | 6.8.12 |
| 6.7 | 6.7.11 |
| 6.6 | 6.6.11 |
| 6.5 | 6.5.14 |
| 6.4 | 6.4.14 |
| 6.3 | 6.3.14 |
| 6.2 | 6.2.15 |
| 6.1 | 6.1.16 |
| 6.0 | 6.0.18 |
| 5.9 | 5.9.20 |
| 5.8 | 5.8.19 |
| 5.7 | 5.7.21 |
| 5.6 | 5.6.23 |
| 5.5 | 5.5.24 |
| 5.4 | 5.4.25 |
| 5.3 | 5.3.27 |
| 5.2 | 5.2.30 |
| 5.1 | 5.1.28 |
| 5.0 | 5.0.31 |
| 4.9 | 4.9.35 |
| 4.8 | 4.8.34 |
| 4.7 | 4.7.39 |
ダッシュボードの「更新」から 7.1.4 へ上げるか、利用ブランチに合わせて上表の修正版へ上げる。自動バックグラウンド更新が有効なサイトは処理が始まる。7.2 Beta 3 にも該当修正が入る。