補充一個 WordPress 系統經常會被網安系統自動掃描到的陳年舊漏洞

不是很想評價這背後的問題，就事論事，WordPress 4.7 的漏洞問題怎麼可能會出現在 6.8 裏面？，不過既然被網安系統掃描提到讓整改，那就改吧。

早上接到網安大隊通知，説是接收到上級文件説發現了我們一個網站有安全漏洞，需要進行整改報告，我瞄了一眼文件就發現這肯定是純機器掃描的，而且還是老機器。

漏洞描述：WordPress 在 4.7.0 版本存在漏洞，可以繞過管理員權限查看 WordPress 上所有發佈過文章的用户 id 與用户信息。

解決方案：升級至最新版本。

建議網安部門對上述 WEB 漏洞隱患開展偵察調查。指導相關單位及時排查類似整改風險隱患，修補系統漏洞，加強網絡安全防護。請相關單位對網站進行即時監測，第一時間發現漏洞隱患，及時處置，避免造成網絡安全危害。

WordPress 4.7 都已經是快十年前的老版本了，怎麼可能現在有漏洞我們還在用？實在是有些無語，但是工作任務來了就還是改吧。

如果你有遇到類似的情況和問題，用下面的代碼，加入到 WordPress 主題的 function.php 就可以屏蔽到系統的用户 API 接口。

// 禁用用户列表 REST API
add_filter('rest_endpoints', function($routes) {
    if (isset($routes['/wp/v2/users'])) {
        unset($routes['/wp/v2/users']);
    }
    if (isset($routes['/wp/v2/users/(?P<id>[\d]+)'])) {
        unset($routes['/wp/v2/users/(?P<id>[\d]+)']);
    }
    return $routes;
});

下面的文檔是提交的報告，這裏公開給客户和 WordPress 用户打個樣，如果你遇到類似的問題，可以根據下方的文檔內容和格式進行回覆。

如果非此問題，比如網站被黑，被網安要求整改還有其他較為複雜的情況，可以聯繫薇曉朵客服給到協助，簡單的可以問題會基於幫助，複雜的會按對應的問題計費。

國內已備案的 WordPress 網站一定要記得勤更新和備份，如果有問題了要第一時間處理，避免類似情況真實發生，網絡安全無小事。