补充一个 WordPress 系统经常会被网安系统自动扫描到的陈年旧漏洞

不是很想评价这背后的问题，就事论事，WordPress 4.7 的漏洞问题怎么可能会出现在 6.8 里面？，不过既然被网安系统扫描提到让整改，那就改吧。

早上接到网安大队通知，说是接收到上级文件说发现了我们一个网站有安全漏洞，需要进行整改报告，我瞄了一眼文件就发现这肯定是纯机器扫描的，而且还是老机器。

漏洞描述：WordPress 在 4.7.0 版本存在漏洞，可以绕过管理员权限查看 WordPress 上所有发布过文章的用户 id 与用户信息。

解决方案：升级至最新版本。

建议网安部门对上述 WEB 漏洞隐患开展侦察调查。指导相关单位及时排查类似整改风险隐患，修补系统漏洞，加强网络安全防护。请相关单位对网站进行实时监测，第一时间发现漏洞隐患，及时处置，避免造成网络安全危害。

WordPress 4.7 都已经是快十年前的老版本了，怎么可能现在有漏洞我们还在用？实在是有些无语，但是工作任务来了就还是改吧。

如果你有遇到类似的情况和问题，用下面的代码，加入到 WordPress 主题的 function.php 就可以屏蔽到系统的用户 API 接口。

// 禁用用户列表 REST API
add_filter('rest_endpoints', function($routes) {
    if (isset($routes['/wp/v2/users'])) {
        unset($routes['/wp/v2/users']);
    }
    if (isset($routes['/wp/v2/users/(?P<id>[\d]+)'])) {
        unset($routes['/wp/v2/users/(?P<id>[\d]+)']);
    }
    return $routes;
});

下面的文档是提交的报告，这里公开给客户和 WordPress 用户打个样，如果你遇到类似的问题，可以根据下方的文档内容和格式进行回复。

如果非此问题，比如网站被黑，被网安要求整改还有其他较为复杂的情况，可以联系薇晓朵客服给到协助，简单的可以问题会基于帮助，复杂的会按对应的问题计费。

国内已备案的 WordPress 网站一定要记得勤更新和备份，如果有问题了要第一时间处理，避免类似情况真实发生，网络安全无小事。