自从WordPress 4.7于2016年12月6日发布之后，其下载次数已经超过1000万次了。昨天，WordPress开发团队发布了WordPress 4.7.1安全修复升级版本。该版本修复了之前所有版本中存在的漏洞，我们建议您立即升级到该版本。WordPress 4.7以及早前版本受到了以下8个安全漏洞的影响：PHPMailer中存在的远程代码执行漏洞（Remote code execution (RCE) in PHPMailer） –目前该漏洞尚未对 WordPress 及主流插件造成任何确切的影响。但是出于谨慎考虑，我们在此新版本中对 PHPMailer 模块进行了升级。这是由Dawid Golunski和Paul Buonopane发现并向 PHPMailer 报告的漏洞。REST API 会向已被授权访问文章类型或其他公开文章类型的所有用户暴露用户数据（The REST API exposed user data for all users who had authored a post of a public post type）。WordPress 4.7.1 对该权限做了限制，只向授权允许访问同样文章类型的用户开放用户数据。该漏洞由Krogsgard和Chris Jean报告。由插件名称或者 update-code.php 文件中版本标头引起的跨站脚本攻击漏洞（ ...继续阅读 (1)

昨天，WordPress开发团队发布了WordPress 4.7最终正式版。为了纪念美国爵士乐手 Sarah Sassy Vaughan，这一版本被命名为“Vaughan”。新的功能更有利于用户使用WordPress搭建想要的网站。WordPress官方团队发布了一段2分27秒视频来介绍WordPress 4.7的新特性。WP的全新主题：2017新的默认主题Twenty Seventeen（2017）将允许用户使用特色图片和视频作为页头。2017主题主要专注商业网站，可以用它来搭建一个可高度定制的具有多个区块的首页。你可以使用小工具（挂件），社交网站菜单、Logo（标志），自定义颜色等多种方式对网站进行定制。同时，WordPress 2017主题支持各种设备访问（手机、平板电脑、桌面电脑等），支持多种语言。WordPress 4.7的主要新特性：除了全新的默认主题之外，WP 4.7带来的新特性还包括：主题启动内容（Theme Starter Content）这是许多WP用户期待已久的一项功能。WP很多漂亮的主题，很多用户拿来之后并发现不好使用，很难直接打造成一个和演示网站一样美观的网站。目前WP仅支持通过自带的导入工具导入网站内容。主题启动内容功能，主要解决用户的这个痛点。它给用户使用WP建站提供一个坚实的基础，可以导入网站的启动内容，将网站的小工具（挂件）、带有社交网站图标的菜单 ...继续阅读 (1)

刚刚，WordPress团队发布了WordPress 4.7 RC（发布候选）测试版。RC版，也就是发布候选版本，就是说开发者自认为开发已经完成，但是考虑到数百万的用户和成千上万主题插件，因此可能会有考虑不周的地方。根据WordPress开发团队的预想，WordPress 4.7正式版计划于2016年12月6日，星期二正式发布；但是要实现这一目标，需要各位WordPress用户积极测试。你可以登录我们的WordPress 4.7中文演示站进行测试，也可以直接点击下载WordPress 4.7 RC 测试版。WordPress 4.7版本包含许多新的功能，许多功能都体现在首次安装设置主题上。新版本的亮点还有，包含了一个全新的默认主题，视频页头，自定义CSS，自定义面板里的快捷方式，PDF缩略图预览，用户管理后台语言，REST API content endpoints，文章类型模版等。想要了解更多关于WordPress 4.7的新功能，可以查看本站关于WordPress 4.7Beta 1,Beta 2,Beta 3,Beta 4以及其他有关WordPress 4.7的文章。如果你在测试WordPress 4.7发现问题，可以到WordPress官方支持论坛的Alpha/Beta板块报告。对于开发者来说，请及时测试你的插件和主题在WordPress 4.7下的兼容性，并将插件的兼容性 ...继续阅读

在WordPress 4.6.1以及之前的版本中上传图片时，如果你没有输入图片的替换文本（即Alt属性值），WordPress将会根据你图片的名字或者你输入的图片说明（Caption）来生成一个替换文本。在WordPress 4.7中，这个功能将会被移除。当初引入这一功能，WordPress开发团队希望能够改进网站可访问性，以便于使用屏幕阅读器的用户（通常是存在视力障碍的用户）根据alt属性值来了解网站图片内容。在WordPress 4.6.1中，当你增加一个图片时，如果你忘记了输入图片的替换文本，如下图：我们没有输入替代文本的内容。但是当图片插入到文章中之后，代码就自动根据图片的名字生成了一个alt属性值，如下图：但是，在WordPress 4.7中，这一功能将被取消。如果你在WordPress 4.7中插入图片，没有输入的替代文字，那么alt属性值将会保留空白，如下图：Alt属性是图片的重要属性，它是图片无法显示时的替代文本。在实际应用中，Alt属性除了应用在网络不理想的情况下之外，还可以被屏幕阅读器读取，可以帮助存在视力障碍的用户了解图片内容；也可以被搜索引擎读取，以便于搜索引擎爬虫了解图片内容。因此，正确设置Alt属性，是非常重要的一件事情。然而，从实际使用情况来看，WordPress之前版本中的使用图片名称自动回滚这一功能，给屏幕阅读器用户带来的用户体验非常不好。因此，在 ...继续阅读 (3)

WordPress 4.7 Beta 4 测试版刚刚发布了。该版本目前仍然处于开发之中，请勿直接使用在生产环境中。我们建议你安装一个测试网站来体验新版本，或者直接登录WordPress 4.7 中文演示站进行体验。你也可以直接下载WordPress 4.7 Beta 4测试版。关于 WordPress 4.7 的介绍，你可以查看WordPress中文网上关于Beta 1,Beta 2,Beta 3的更新介绍，以及本站其他关于WordPress 4.7新功能介绍的文章。WordPress 4.7 Beta 4主要进行了大约60处修改，包括新版本主题2017，自定义CSS功能（Custom CSS），以及REST API content endpoints等。如果你在测试过程中遇到bug，请登录WordPress支持论坛Alpha/Beta版面进行报告。 ...继续阅读 (3)

WordPress的emoji表情符号，存储在s.w.org服务器上，但是表情符号没有压缩，而且国内用户访问该服务器很慢。土耳其的开发者Mustafa Uysal最近发布一个Compressed Emoji插件，将Emoji插件存储在你的服务器上，将表情符号的加载时间减少了60%。Compressed Emoji插件使用了WordPress 4.6新引入的一个emoji_svg_url过滤器（filter），这个过滤器允许开发者修改emoji SVG图片的存储地址。激活该插件之后，每个表情符号的大小减少了约60%（从3kb减少1.3kb），加载时间也同样减少了约60%，点击下图可以查看大图：插件开发者Mustafa Uysal曾经希望WordPress.org网站考虑未来压缩emoji表情符号。对表情符号进行压缩，会对网站访问速度略有提升。4个月前，曾有用户在WordPress开发跟踪系统（Trac）上面提交票单（ticket），希望缓存emoji文件头并进行压缩。WordPress开发团队实现了缓存头，但并没有进行emoji压缩。Gary Pendergast说，“当前的计划是将所有东西转移到一个新的CDN上面。目前的CDN系统有些过时了，比如说，还不支持HTTP/2。开发团队需要测试更多的内容。不过，emoji压缩这一需求在任务列表上的优先级很高。”因此，喜欢使用Emoji表情 ...继续阅读 (6)

WordPress 4.7将会允许每个用户设置自己喜欢的后台语言。也就是说，假如你的网站前台是面向国外用户，网站内容使用的是英文界面，现在你可以在后台设置使用中文界面进行管理了。在此之前，如果你要想给WordPress前台和后台设置不一样的语言，需要一些特殊的技巧或者安装第三方的插件才可以。WordPress 4.7引入一个新功能，每个用户可以设置自己的管理后台语言，管理外语网站变得更加轻松了。下面是来自WordPress 4.7中文演示站的截图：由于这个后台管理语言是针对WordPress用户专用的，那么也就是说，如果你的网站有多个管理人员，那么每个用户都可以设置自己的后台语言。对于这类网站（比如，外贸企业）来讲，这可以降低对于网站运营人员的要求，管理更新网站内容，简单了很多。在WordPress 4.7 Beta 1版本之中，这里仅仅可以选择不同的语言。到了Beta 3版本之后，这里增加了一项Site Default（网站默认语言），即与前台语言一致。未来用户特定语言选项的默认设置，估计也会是网站默认语言。但是，你要知道这里可以进行修改管理后台的语言。 ...继续阅读 (1)

WordPress开发团队发布了WordPress 4.7 Beta 3测试版。由于该版本仍在测试之中，请不要将该版本的软件直接用在生产环境中。我们建议你安装一个专门的测试网站来体验新版本，或者登录WordPress中文网提供的WordPress 4.7中文演示站进行体验。你也可以直接下载Beta测试版。要进一步了解WordPress 4.7的新功能，你可以查看本站关于Beta 1，Beta 2的文章，以及其他相关文章。WP 4.7 Beta 3的主要改进包括：REST API:Theunfiltered_htmlcapability is now respected andrest_basehas been added to response objects ofwp/v2/taxonomiesandwp/v2/types, whileget_allowed_query_vars()and therest_get_postfilter have been removed.Roles/Capabilities:Added meta-caps for comment, term, and user meta, which are currently only used in the REST API.I18N:Added the ability to change user’s lo ...继续阅读 (11)

WordPress允许用户自定义页面模板，已经有12年的历史了，用户使用该功能可以给特定页面设置不一样的网页布局。在WordPress 4.7中，这一功能将被扩展到文章，以及更多的文章类型。WordPress中文网今天就给你做个详细介绍。在WordPress 4.7以前的版本中，模板功能仅仅局限于页面使用。利用这一功能，用户可以给页面选择使用各种不同预定义的模板。但其他类型的文章，无法使用这一功能。在WordPress 4.7新版本中，通过将页面模板扩能扩展给所有类型的文章，WordPress的模板体系的灵活性进一步得到增强。除了在文件头部增加 Template Name 参数外，你还需要在这里指定 Template Post Type: post, foo, bar 。下面是一个例子：<?php /* Template Name: Full-width layout Template Post Type: post, page, product */ // ... 模板代码这样，你就可以在 post（文章），page（页面），product（产品） 等类型的文章中选择使用这个名字为 Full-width layout（全宽布局） 的页面模板。只要你的主题中有一个适合文章的模板，那么在后台文章编辑页面就会出现这个“Post Attributes”选项框。这个“Post A ...继续阅读

WordPress是一个非常简单易用的开源建站程序。如果你已经学会了如何使用，那么只要再深入一下，你就会发现它更多的“隐秘的功能”。在这篇文章中，WordPress中文网将向你介绍其中20个隐秘的WordPress功能，让你更加充分地了解WordPress。今天介绍第16~20个。16. 关闭评论如果你的网站的访问者非常活跃，经常在你网站后面进行评论，那么你每天都会需要花费不少时间在这上面。当然，与网站访客交流，是一件非常有价值，也很有趣的事情。不过，如果文章已经发布很久了，你可能会想关闭评论；因为，你不想再对很久以前发布的文章进行回应了。这个很好办。WordPress已经给你准备好了解决方案：自动关闭早期文章的评论功能。在WordPress管理后台的设置->讨论中，你可以进行设置：自动关闭N天之前的文章，具体天数可以手动修改。17. 默认分类WordPress要求每篇文章都要有归入至少一个文章类别。如果你忘记了，系统会给你设置为默认的类别：“未分类”。这个名字让你的网站显得很不专业。幸运的是，你可以修改这个默认文章分类的名字。别担心，很简单的。首先，如果你还没有创建文章分类，先通过左侧导航栏找到文章->分类目录->添加新文章目录来创建一个文章分类。别名可能会出现在网址中，因此你可以用拼音或者英文翻译代替。然后，通过左侧导航栏找到设置->撰写->撰写设 ...继续阅读 (2)

WordPress开发团队前天发布了WordPress 4.7 Beta 2测试版。提醒注意，WordPress 4.7版本仍在开发测试之中，请勿直接将测试版软件用在生产环境用。你可以创建一个临时网站来测试WordPress 4.7，或者登录WordPress 4.7中文演示站进行体验。点击下载WordPress 4.7 Beta 2测试版。WordPress 4.7 Beta 2的改进WordPress 4.7 Beta 1版本发布之后，Beta 2版本的主要改进有：新主题2017：由于开发人员的粗心大意，Beta 1版本软件包中没有包含这个新出的Twenty Seventeen主题。此外，Beta2版本中的2017新主题，修复了十多个bug，这些问题主要集中于网站页头和小屏幕上。编辑器快捷键：这些快捷键在编辑过程中一直可以看到，而且现在可以在Firefox浏览器下正常工作了。REST API endpoints：也做了一些改进。更多针对开发者的改进。修复了许多bug：确切的说，过去一周修复了150多个bug。想要进一步了解WordPress 4.7的功能，可以查看我们的WordPress 4.7 Beta 1测试版发布一文。如果你在测试过程中发现问题，请报告至WordPress支持论坛的Alpha/Beta板块。每个用户的反馈，可以帮助WordPress 4.7！最后，祝各位网 ...继续阅读 (4)

前天，WordPress开发团队发布了WordPress 4.7 Beta1测试版。新版本WordPress在用户体验方面做了不少改进。今天，WordPress中文网就给大家介绍一下WordPress 4.7编辑器中的变化。我们先来对比一下WordPress 4.6与WordPress 4.7的编辑器按钮。我们可以看到以下几处变化：变化1：见上图序号1。最常用的段落/各级标题下拉菜单，从第二行转移到第一行。变化2：见上图序号2、3。下划线按钮和两端对齐按钮不见了。移除下划线按钮，是因为有很多用户认为下划线容易被误认为链接，影响用户体验；移除两端对齐按钮，是因为几乎没有浏览器真正实现这一功能。不过，虽然这两个按钮移除了，但是功能还在。如果你仍然需要设置这两种样式，可以tong下划线功能（Ctrl+U）和两端对齐功能（Shift+Alt+J）的快捷键来实现。变化3：见上图需要4、5。删除线功能和水平分割线功能按钮，从第一行挪到了下面第二行。除此之外，WordPress 4.7中编辑器还有一个明显的变化。当你把鼠标放到可视化编辑器的任何一个菜单上时，都会更加明显地提示该功能的快捷键：关于WordPress编辑器中各个按钮的快捷键，在编辑器按钮栏的最后一个帮助按钮中，都有详细介绍。但是很多用户并知道去查看。现在这种方式，提示更加明显，可以引导用户使用快捷键，更加流畅地进行网站内容创作。Wo ...继续阅读 (8)

今年这个冬天似乎来的特别突然，还没怎么感受秋天的凉爽呢，冬天就呼呼地吹着冷风来了。临到月末，WordPress中文网给你带来了2016年10月10个最优秀的WordPress免费主题，希望能给你的冬日带来一丝温暖。我们今天推荐的这10个WordPress免费CMS主题，全部来自官方WordPress主题目录，全部都是经过检验，安全可靠，可放心使用。1. Weblog主题Weblog是一个CMS风格的博客主题，外观非常漂亮。它在首页以网格的形式展示所有的文章。该主题还有带有幻灯片（图片轮播）功能，背景颜色也可以进行自定义。详情介绍 / 下载在线演示WordPress主机空间2. riseWP主题riseWP是个杰出的多用途的WordPress免费主题。不仅是以为它外观漂亮，而且还可以自定义颜色，超大背景图片，设置Google字体，此外还设置了行动召唤按钮。详情介绍 / 下载在线演示WordPress主机空间3. Editorial主题Editorial是个新闻、杂志风格的主题，可以根据你的需要来调整设计主页。有很多选项可以进行设置和修改。该主题确实很棒，值得认真一览。详情介绍 / 下载在线演示WordPress主机空间4. Vertex主题Vertex主题是个适合博客网站的主题，它能给人与众不同的感觉。它设计合理，超大的突破给人留下深刻的印象。此外，该主题还有一个幻灯片可以使用，同时 ...继续阅读 (1)

WordPress开发团队今天发布了WP 4.7 Beta 1公开测试版，给用户和开发者带来许多新功能。WordPress核心开发成员请大家积极测试并进行反馈。按照计划，WordPress 4.7正式版将于12月6号发布。首先提醒，WP 4.7目前仍处于开发之中，请勿直接使用在生产环境中！WordPress 4.7带给大家最大的惊喜是最新版默认主题2017，以及它对视频页头功能的支持。支持视频作为网站页头，是WordPress 4.7的新功能，2017主题是第一个使用该功能的主题。此外，WordPress针对用户做出的改进还有：新网站的设置流程：新用户看到一个漂亮的主题，下载之后却不知道怎么设置成演示站那么漂亮的样子。这是新手很常见的问题。这一版本开始改进主题安装之后的设置流程，让用户可以方便地做出演示站的外观。预览自定义CSS代码的效果：当你想要对主题或者插件进行微调的适合，可以直接预览修改后的效果。设置用户后台语言：新版本将允许用户单独设置WordPress后台的使用语言，也就是将管理后台语言和网站前台语言分开了。对于外贸类网站来说，这是一个非常适用的功能。网站前台设置成目标国家的语言，后台用自己熟悉的语言来管理。PDF缩略图预览：当你上传PDF文件的适合，将会生成缩略图文件，这样很容易区分不同的文档。除了以上针对用户的新功能，WordPress 4.7还包括许多针对开发者的新 ...继续阅读 (5)

WordPress是一个非常简单易用的开源建站程序。如果你已经学会了如何使用，那么只要再深入一下，你就会发现它更多的“隐秘的功能”。在这篇文章中，WordPress中文网就向你介绍其中20个隐藏的WordPress功能，让你更加充分地了解WordPress。今天介绍第11~15个。前文回顾：20个你可能还不知道的WordPress隐秘功能（1~5）20个你可能还不知道的WordPress隐秘功能（6~10）11. WordPress图片编辑器你知道WordPress的编辑器带有图片编辑的功能吗？它的功能虽然并不想Photshop那么强大，但是，也可以用来方便地剪切、调整大小、翻转、以及旋转图片。要获取全部功能，进入多媒体->媒体库->选择选择要编辑的图片->编辑图片。12. 默认图片设置当你往文章中添加图片的时候，WordPress回给你提供几个图片尺寸选项 — 缩略图，中等图片，大图，以及完整图片。完整图片就不用多说了，名字就说明了问题。但是，你知道其他三个尺寸从何而来吗？WordPress预设了这三个图片的尺寸，但是你可以自己修改。在WordPress的管理后台，进入设置->多媒体，在这里你可以设置图片的缩略图尺寸，中等图尺寸，和大图尺寸。13. 添加任意选项到菜单菜单早就是WordPress的基本功能之一了。你可以通过WordPress管理 ...继续阅读 (1)

职场社交网站LinkedIn的学习门户为用户提供福利，所有用户可以在10月30日之前连续一周的时间内，免费学习5,000多个在线视频课程。这些视频课程来自著名在线培训网站，Lynda.com。这是LinkedIn学习门户网站，IinkedIn Lerarning，搞的一次学习周（Week of Learning）活动。除了需要你有一个LinkedIn账户用户登录之外，这次活动没有任何附加条件。Lynda.com是一个非常老牌的在线教育培训网站，成立于1995年，并于2015年被LinkedIn（领英）以15亿美元的价格收购。Lynda.com的在线培训教程，更侧重于职业教育，于职场中更加实用。Lynda.com上的教程以英文为主，但是难度比Coursera低一些。正常情况下，在Lynda.com上学习，每年的费用大概是360美元，折合人民币大约2500元左右；价格并不贵，但是有些用户并不太适应英文授课。因此，这是一个很好的机会，可以看看是否适合自己。为了帮助新用户来决定学习哪些教程，这里还列出2016年最受欢迎的教程，包括有编程基础，Excel 2016培训，交流的技巧，新经理培训，SQL培训，时间管理基础，JavaScripte培训等。本次活动截止日期为2016年10月30日。如果你打算在Lynda.com上进行学习而又缺钱的话，这可是一个不容错过的福利哦。The postLin ...继续阅读 (1)

WordPress是一个非常简单易用的开源建站程序。如果你已经学会了如何使用，那么只要再深入一下，你就会发现它更多的“隐秘的功能”。在这篇文章中，WordPress中文网就向你介绍其中20个隐藏的WordPress功能，让你更加充分地了解WordPress。今天介绍第6~10个。前文回顾：20个你可能还不知道的WordPress隐秘功能（1~5）6. 内嵌链接在WordPress 4.5版本之前，要想添加链接，需要点击文章编辑器中的插入/编辑链接这个按钮。在WordPress 4.5版本之后，你可以直接使用内嵌链接功能。你可以直接复制一段链接，然后再编辑其中选择想要连接的文字，然后直接粘贴（Ctrl+V，或者右键，粘贴）到对应的文字，就可以自动创建一个链接。7. 快速嵌入媒体内容和上面很像，你也可以通过粘贴一个WP支持的网址，来直接嵌入一段媒体文件。这样，你可以非常方便地给网站添加各种媒体内容——视频、图片、相册、文档、音频、幻灯片、以及社交网站的帖子等。输入链接…然后会车，哇哦！视频媒体文件被嵌入文章：WordPress支持的内嵌媒体不断增加。要看一个网站是否被支持，这里有WordPress官方支持内嵌媒体列表。8. 格式快捷键想要快速对你的文章内容进行格式处理？WordPress有几个处理文本格式的快捷键可以帮你。只要在WordPress的可视化编辑器中输入几个符号 ...继续阅读 (1)

WordPress是一个非常简单易用的开源建站程序。如果你已经学会了如何使用，那么只要再深入一下，你就会发现它更多的“隐秘的功能”。在这篇文章中，WordPress中文网将向你介绍其中20个隐秘的WordPress功能，让你更加充分地了解WordPress。今天介绍第1~5个。本文内容简单，适合于WordPress新手用户。不过，即便你觉得自己已经是WordPress高手，或许也能在本文种学到之前没有见过的WordPress功能。1. 显示选项我们先来看看显示选项功能 – 你可以用它来控制当前管理页面中模块的显示或隐藏，马上你就会明白我的意思！默认情况下，WordPress的每一个管理页面中，通常只显示最常用的功能。然而，在WordPress许多管理页面的右上角，你都会看到这个“显示选项”按钮。点击显示选项按钮，会下滑出一个菜单，可以解锁当前页面中隐藏的功能。说明：WordPress将每个管理页面称作Screen，即电脑屏幕中一屏的意思，因此我们有时候也称之为屏幕。2. 帮助如果你遇到了任何问题，紧挨着“显示选项”按钮，你会看到“帮助”按钮。在WordPress的管理后台，每个页面中都有这个帮助按钮。点击这个按钮，将会出现另一个下拉菜单。这一次，它会向你解释当前屏幕中的主要功能。同时，下拉菜单中还包括一些快捷链接，指向WordPress官网的文章以及支持论坛。3. 仪表 ...继续阅读 (4)

前天，WordPress中文网介绍了W3 Total Cache缓存插件存在高危XSS漏洞的问题。昨天，W3TC团队发布了0.9.5主版本更新，不仅修复了XSS漏洞，还带来了许多新功能。然而，有许多用户抱怨新版本W3TC导致其网站无法访问。W3TC高危漏洞回顾W3 Total Cache插件是一个非常热门的WordPres缓存插件，在我们介绍的25个最受用户喜爱的WP插件中，W3TC名列第五，当前安装该插件的网站，有100多万。然而，近日有网友发现该插件的支持表单功能未对用户输入内容进行转义处理，存在XSS漏洞。尤其是该插件近来开发进展缓慢，最近一次小版本升级，是6个月前（2016年3月份）发布的0.9.4.1；上一次主版本升级，是2年前（2014年）发布的0.9.4；而在这次漏洞爆发之后，开发者迟迟未作出修复，也没有任何回应，引发了许多用户的忧虑。这这次发布的0.9.5主版本更新，是该插件2014年之后首次发布主要版本更新。本以为这只是一个修复这次XSS高危漏洞的安全维护版本，没想到新版本包含很多新功能。但是，有不少用户抱怨新版本升级导致网站无法访问。W3TC 0.9.5主要更新W3TC这次发布的更新0.9.5，本来以为应该只是XSS漏洞的小版本更新，没想到还包括很多的新功能。W3TC0.9.5更新的主要功能包括：修复XSS漏洞，支持 Opcode Cache（操作码缓存），支持 ...继续阅读 (11)

最近，WP Media网站发现著名的缓存插件W3 Total Cache存在高危XSS漏洞，影响当前超过100万个WordPress网站。W3 Total Cache插件开发者尚未修复此漏洞；热心网友给出解决方案，可以修复此漏洞。W3TC XSS高危漏洞描述W3 Total Cache插件是非常著名的WordPress缓存插件，可以优化WordPress网站性能，提升网站访问速度。我们曾经在最受欢迎的25个WordPress插件中介绍过它，它高居排行榜第5位。该漏洞是在W3 Total Cache插件的支持表单（support form）中发现的。根据WP Media的描述：This page can be reach directly using a URL with params, then the params will fill the form.The params are not escaped when printed on the page, leading to an XSS vulnerability.Example of XSS URL to be avoided: https://example.com/wp-admin/admin.php?page=w3tc_support&request_type=bug_report&request_i ...继续阅读 (1)

WordPress 4.7新版本的开发工作已经开始。这一版本将会给大家带来一个新的默认主题：Twenty Seventeen，也就是2017主题。WordPress 2017主题设计图WordPress每年都要给大家带来一款全新的默认主题。WordPress 4.7将会给大家带来的新版默认主题，由Mel Choyce设计的Twenty Seventeen主题（下面简称2017主题），是个采用现代设计风格的主题，可用于打造适合任何商业网站及以及产品展示网站。下面是WordPress 2017主题的设计外观图： 此外，除了上面的桌面版本首页，设计图还包括iPad版本首页、智能手机版本首页、静态页面、文章页面、文章列表页面等。可以点击此处查看。WordPress 2017主题的设计目标看得出来，WordPress 2017主题非常漂亮。但它的优点不限于此。2017主题至于提供无缝的主题初始安装功能，让任何用户（哪怕你没有太多的专业技术支持）都可以在最短的时间内安装好这个主题。WordPress 2017主题的设计目标还包括：更方便用户使用静态页面作为首页；主题自定义面板将提供可视化的图标编辑功能，代替现在隐藏的shift+click方法；扩展自定义页头图片，允许使用视频；用于即时预览的傻瓜填充内容。WordPress 2017主题的开发设计师Mel将全程关注WordPress ...继续阅读 (3)

知名的WordPress JetPack插件包，上周发布了4.3版本。新版本的管理后台的界面全部使用React.js重写。Jetpack团队在过去的一年中，一直致力于对插件进行重新设计。在该版本发布之前，一共收到了超过8,000个Jetpack插件包用户的反馈意见。在升级到Jetpack 4.3版本之后，你会看到一个新的控制台，可以查看网站的访问统计，网站安全，以及激活的模块等。在这一版本中，新的搜索框可以在你输入文字时来过滤功能。激活或关闭模块的操作可以立即进行，不需要进行页面的刷新。新版本Jetpack增加了两个新的页面：Apps（即应用：包括移动版、桌面版），以及Plans（即方案：WordPress.com提供的收费服务项目）。Plans页面中包含一些WordPress.com网站的付费项目，在这里是提供给使用WordPress.org软件自行建站用户的。两个付费方案分别是每年99美元（约666元人民币/年）和299美元（约2000元人民币/年），服务项目包括有不同层次的安全扫描、备份选项、以及其他的功能。总的来说，Jetpack 4.3新界面速度更快，但是用户们也发现在加载Stats和Plan页面时，速度明显变慢。有时候无法打开页面，只是显示一个”loading…”的动画，即使在断开连接后再重连Wordpress.com也无济于事。于是 ...继续阅读 (2)

金风送爽，佳节来临。在中秋节即将到来之际，我们WordPress中文网祝各位朋友节日快乐，全家团圆！WordPress中文网每月都会精选10个优秀的WordPress免费主题，推荐给各位WordPress中文网的朋友们。今天，我们推荐的是适合图片、摄影类的网站的WordPress免费主题。当然，这些主题也同样适合那些需要展示商品、作品的商业网站和创意设计公司。今天我们推荐的这些主题，全部来自于WordPress官方主题目录，也就是说，全部都是经过检查，安全可靠的免费主题。1. RokoPhoto Lite主题一个简洁又经典的摄影图片类主题，采用现代设计风格。该主题拥有全宽（full-width）的页头图片，文章内容通过延迟加载（lazy loading）的形式优雅展现。RokoPhoto主题对于作品类、摄影类网站来说，是个很好的选择，因为它可以轻松创建相册格式的文章，并附带上吸引人的图片描述。总之，好的设计就是要图片优先。特点：响应式设计；无限颜色选择；支持多语言翻译；动态页头图片；优雅的外观；社交网站分享。详情介绍 / 下载在线演示WordPress主机空间2. Tography Lite主题该主题的特点是，简洁又优雅。它在首页使用了带有动画效果的切砖式相册，使得图片灯油吸引力。Tography有一个滑出式的菜单，以及美观、清爽的设计。你可以在每个类别中添加大量的图片，也可以创建 ...继续阅读 (1)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第28~32步。全文目录32步WordPress网站安全终极检查清单 – 目录28. 禁用XML-RPC功能（如果你用不到它的话）WordPress允许其他应用软件通过应用程序接口（简称API）来进行远程访问。也就是说，其他应用程序可以可以访问你的网站。一个典型的应用就是XML-RPC，你可以用它来更新网站内容。有很多插件也依赖于XML-RPC功能，比如Jetpack插件包就用到了XML-RPC功能。然而，XML-RPC也可能被黑客用来攻击你的网站。今天，很多用户相信XML-RPC和WordPress内核一样安全，然而实际上XML-RPC有可能被黑客用来进行钓鱼诈骗。如果你的网站开启XML-RPC的话，你可能会发现每天有一二十次访问记录。如果你确信自己不会去用第三方的应用来访问WordPress，网站上的WordPress插件也不需要这一功能，那么你可以安装插件来禁用XML-RPC功能。29. 禁用PHP错误报告功能在你进行网站开发的时候，错误报告就像是一个救生圈。在错误来临的时候，它可以精确地告诉你错误的 ...继续阅读 (4)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第23~27步。全文目录32步WordPress网站安全终极检查清单 – 目录23. 禁止执行PHP代码如果黑客通过某种手段侵入了你的网站，那么他要做的第一件事可能就是在某个文件夹内执行PHP代码。但是，如果禁止掉这个功能，那么就算你的网站被入侵，也能保护你的网站不会产生严重的后果。这是保护WordPress安全一个重要步骤，可能会影响某些插件和主题的运行。但是，你至少应该限制最可能出现问题的两个目录 wp-includes 和 uploads 。你可以把以下代码放到 .htaccess 文件中，然后把文件放在WordPress文件的根目录，或者你想要限制的目录（比如上面我们说的 wp-includes 和 uploads 目录）：<files *.php> order allow,deny deny from all </files></pre> <pre>24. 隔离WordPress数据库如果你在同一个服务器上有多个网站，你可能会喜欢所有的网站共用同一个 ...继续阅读 (7)

WordPress开发团队刚刚发布了WordPress 4.6.1，这是WordPress 4.6版本的第一个安全维护版本，对之前所有版本中存在的安全问题做了修复。我们建议你及时升级到这一版本。WordPress 4.6.1主要修复了2个安全问题：一个是由图片文件名引起的跨站攻击问题；一个是升级功能中的路径遍历漏洞。感谢来自SumOfPwn的Cengiz Han Sahin及来自WordPress安全团队的Dominik Schilling对以上安全问题做的负责任地报告。除此之外，WordPress 4.6.1还对修复了WordPress 4.6中存在的15个bug，这里有详细的发布说明。你可以直接下载WordPress 4.6.1，也可以通过WordPress后台进行升级更新。支持自动更新的WordPress网站，也将陆续自动更新到该最新版本。  ...继续阅读 (6)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第18~22步。全文目录32步WordPress网站安全终极检查清单 – 目录18. 限制尝试登录的行为我们前面已经提到过密码的暴力破解；对黑客来说，使用计算机程序来暴力破解密码，成本非常低廉。因此，你应该设置一种机制来阻止任何尝试暴力破解你网站密码的行为。这个Limit Login WordPress（限制登录WordPress）插件，就是做这个的。如果它监测到一定次数的登录时密码错误的行为，它就是禁止用户在一定的时间内再次尝试登录。很显然，这样会很使得暴力破解很难实施，可以显著增加你的网站的安全系数。19. 启用双重认证有一个可以快捷迅速增强你WordPress网站登录安全的举措，那就是启用双重认证（Two Factor Authentication），许多人将其简称为2FA。2FA创建一种登录WordPress后台的机制，除了输入你的正常密码之外，还需要输入一个基于时间的安全口令，这个口令对于每个用户都是不一样的。通常，这个口令每60秒变化一次。安全口令对每个用户都是独一无二的，并且很快就会过期；这样 ...继续阅读 (2)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第13~17步。全文目录32步WordPress网站安全终极检查清单 – 目录13. 只在可信任网络中更新你的网站很多时候，我们都把免费的WiFi视为福利。但是，偏执安全的怪物（像我这样），却会对在这样不信任的网络中（比如你家楼下的快餐店内）更新网站感到不安。开放的 WiFi 环境中，数据很容易被窃取。如果你在这样不信任的网络中访问你的WordPress管理后台，那么你收获的可能不仅仅是“免费的WiFi”。记住，只在可信任的网络中更新你的网站，比如在家，或者办公室。14. 本地计算机要安装杀毒软件想象一下你的桌面电脑中了计算机病毒的情景。记住，病毒的首要目标，就是尽可能地复制和传播它自己。对于计算机病毒，把它隔离起来，千万不要让它传播到你的网站上。要对付病毒，应用最为广泛的办法就是安装杀毒软件。很多网站被感染，就是因为其中有些WordPress网站管理员自己的计算机上没有安装杀毒软件。这是非常糟糕的。你桌面电脑上的病毒，会快速地进行自我复制、传播，可能很快就会传染到你的网站上。病毒还可能窃取你的密码、银行卡 ...继续阅读 (6)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第6~12步。全文目录32步WordPress网站安全终极检查清单 – 目录6. 仅安装下载自其官方网站的插件、主题和脚本程序有的用户没有正版意识，喜欢从一些不靠谱的网站下载本应付费购买的主题和插件。我们不对这些用户的盗版行为做过多的价值评判。但根据WordPress主机主机用户的实际情况来看，使用盗版主题，是国内WordPress网站被黑的最主要的原因之一。许多人并没有认识到，你从盗版网站免费下载的这些盗版主题，很多已经被置入了木马病毒等恶意程序。很多时候，这些主题里包含有后门程序，这样黑客就可以通过后门程序来远程控制你的网站。你愿意把你的钱包交给一个骗子吗？我想不会的。同样，你也不应该把你的网站交给骗子。不要轻易相信那些偷盗别人付费主题来“免费”提供给你的盗版网站。一个正版主题，价格通常在500元人民币之内，为了节省这点钱而冒着巨大的风险，并不值得。那么，哪些安全网站可以获得高质量的主题呢？WordPress.org官网是最为常用的下载插件和主题的网站。我们WordPress中文网每月为大家推荐的精选主 ...继续阅读 (1)

网站安全，是许多WordPress新手容易忽略的一个重要问题。如何确保WordPress网站安全，也是许多刚刚接触WordPress的用户面临的一个难题。WordPress中文网本系列教程教你介绍一系列的步骤，来保护你WordPress网站的安全。这一些列步骤共分32步，今天介绍第1~5步。全文目录32步WordPress网站安全终极检查清单 – 目录1. 保持使用最新版本的WordPress总是有许多WordPress用户禁止WordPress内核程序自动更新功能，因为他们担心“升级可能会出现插件不兼容问题”。这是非常错误的想法。我们对比一下，一面是有漏洞可能会被黑的网站，一面是临时插件不兼容的网站，你觉得哪一个问题更严重？插件偶尔会出现不兼容WordPress最新版本的情况，但往往指示很短的一段时间。而网站一旦被黑，则是比较严重的问题。每次WordPress内核更新，都会修复许多新近发现的漏洞。如果你的WordPress内核程序没有更新，那么你的网站就可能因为这些漏洞而受到攻击。WordPress默认允许小版本号的自动更新，但不允许主版本号的自动更新。比如说，如果你现在安装的是WordPress 4.6，那么在WordPress 4.6.1发布之后，你的网站将会被自动更新到4.6.1。如果将来发布了WordPress 4.7，你的网站不会自动更新到此版本，需要你在后台点击按钮进 ...继续阅读 (4)