WordPress 3.9.2 及以下的版本包含一个严重的跨站脚本漏洞，可以让匿名的用户破坏网站，但是这个漏洞不会影响 4.0 版本。4.0.1 解决了以下 8 个安全问题：

　　* 3 个跨站脚本问题

　　* 一个跨站请求伪造漏洞，可以诱骗用户修改他的密码

　　* 可能导致密码验证的时候拒绝服务

　　* 当 WordPress 发出 HTTP 请求的时候，额外的服务端保护请求伪造攻击

　　* 一个完全不像 hash 碰撞的攻击，可以允许破坏用户账户，当然，这要要求用户账户在 2008 年以后没有登录过。

　　* WordPress 现在的密码重置邮件中的链接，如果用户记得他们的密码，登录，可以修改他们的邮件地址。

　　WordPress 4.0.1 同时还修复了 23 个 bugs，还有两处重大的改进，包括更好的 EXIF 数据验证（从上传图片提取的）。