Al parecer esta nueva actualización de wordpress ya esta dando sus primeros bugs, en este caso El problema radica en el tratamiento del parametro que indica el año a la hora de filtrar y compromete directamente la función wp_title() mediante XSS. Este xss nos da el user y pass encriptado en md5 del wordpress, solo pasandole un desencriptador alguien podría hacer desastres con nuestro blog.

Un ejemplo de como explotar la vulnerabilidad seria:

http://www.yourdomain.com/?year=xss%3C/title%3E%3Cbody%20onmousemove=document.write(document.cookie);%3E%3C/body%3E

Solucion:
Editamos la función wp_title() del fichero wp-includes/general-template.php

Buscamos esto:

if(!empty($year)){
$title = $year;
}

Y lo Reemplazamos por esto:
if(!empty($year)){
$year = (int)$year;
$title = $year;
}




VIA|Anieto2k