●現象

Gutenbergエディターで「ランキング」ブロックを配置した。
この時、ボタンをクリックできる。

ボタンをクリックすると、エディター内にジャンプ先のページが表示され、「エディターで予期しないエラーが発生しました。」となる。

----------------------------------------------
テーマ名：Cocoon
バージョン：2.9.2.3
カテゴリー数：18
タグ数：124
投稿数：1748
固定ページ数：12
ユーザー数：1
----------------------------------------------
●現象

→→404ページ画像を未入力にしても標準画像としている。
このため、フックでnullとした。

https://github.com/xserver-inc/cocoon/blob/5145369b40baf96a45fb93b097688a8a87465154/lib/page-settings/404-funcs.php#L11-L21

無条件で404ページ画像を表示している。

<img class="not-found" src="" alt="404 Not Found">

●原因

テンプレートでは404ページ画像ありを前提としている。
結果、CSSで非表示とする必要がある。

https://github.com/xserver-inc/cocoon/blob/5145369b40baf96a45fb93b097688a8a87465154/404.php#L17

●誤字

テンプレートのコメントの内容が間違っています。

https://github.com/xserver-inc/cocoon/blob/5145369b40baf96a45fb93b097688a8a87465154/404.php#L12

●余談

404ページのとき、退屈なので楽しめるよう、ゲーム画面にしてみました（笑）

https://ss1.xrea.com/chuya.s239.xrea.com/temp/

●現象

「FAQ」「タイムライン」ブロック内に以下を配置した。

• インラインボタン（塗りつぶし）
• ランキング

このとき、ボタンのテキストカラーが白でない。

●原因

以下の例えば「タイムライン」ブロックのCSSプロパティはテキストカラーを黒としている。

https://github.com/xserver-inc/cocoon/blob/f994838d4031937bc25404b27f7c0200c4df6b9c/style.css#L8632

このため、ボタンでも--cocoon-custom-text-colorを参照しているため、親の色がそのまま反映されてしまう。

https://github.com/xserver-inc/cocoon/blob/f994838d4031937bc25404b27f7c0200c4df6b9c/style.css#L3993

●現象

→→「ブログカード表示を有効にする」を有効としている際、
GutenbergエディターでURLを入力している途中に、意図しないタイミングでブログカードへ自動変換されてしまいます。

●回避策

一旦URLの先頭に「!」を付与して自動変換を防ぎ、入力完了後に「!」を削除するという手間が発生しています。

The Health Check & Troubleshooting plugin for WordPress is vulnerable to Path Traversal in all versions up to, and including, 1.7.1. This makes it possible for authenticated attackers, with Administrator-level access and above, to perform actions on files outside of the originally intended directory.
  
WordPress の Health Check & Troubleshooting プラグインは、バージョン 1.7.1 までのすべてのバージョンにおいて、パス トラバーサル攻撃の脆弱性を抱えています。これにより、管理者権限以上の認証済み攻撃者が、本来意図されたディレクトリ外のファイルに対して操作を実行できてしまう可能性があります。

このプラグインは、WordPress.org公式のもので、有用でしたが…。

サポートフォーラムでは、以下のような見解のようです。（差し迫った危険はない、影響の深刻度は低い）

Are you going to fix the vulnerability?
https://wordpress.org/support/topic/are-you-going-to-fix-the-vulnerability/

Although we had not been informed of this disclosure ahead of it happening, there is no apparent immediate risk.

Without giving too much information, as we are reviewing the report that was submitted to us at a later date; An administrator (which would in most cases be the site owner) would be able to view the content of files outside the WordPress directory, but only if the user also had access to your server and could write or modify very specific files on the server it self first.

The security advisory agrees that these requirements are so specific that it has a low severity impact and is unlikely to be exploited, but we are still waiting for more information from the reporter to more accurately address the report before we make any changes, if needed.
  
この情報開示について事前に知らされてはいませんでしたが、差し迫った危険は今のところ見当たりません。

後日提出されたレポートを精査しているため、詳細な情報はお伝えできませんが、管理者（ほとんどの場合はサイト所有者）はWordPressディレクトリ外のファイルの内容を表示できますが、そのためには、そのユーザーがサーバーへのアクセス権を持ち、サーバー上の特定のファイルを書き込んだり変更したりできる必要があります。

セキュリティ勧告では、これらの要件が非常に具体的であるため、影響の深刻度は低く、悪用される可能性は低いという点に同意していますが、必要に応じて変更を加える前に、報告者からより正確な報告内容を把握するため、引き続き情報を待っています

●現象

以下のマニュアルに従い、Gutenbergエディターの段落ブロックにURLを入力した。

https://wp-cocoon.com/not-blogcard/

<!-- wp:paragraph -->
<p>https://www.yahoo.co.jp</p>
<!-- /wp:paragraph -->

<!-- wp:paragraph -->
<p>!https://www.yahoo.co.jp/</p>
<!-- /wp:paragraph -->

<!-- wp:paragraph -->
<p><a href="https://www.yahoo.co.jp">https://www.yahoo.co.jp</a></p>
<!-- /wp:paragraph -->

<!-- wp:paragraph -->
<p>!<a href="https://www.yahoo.co.jp/">https://www.yahoo.co.jp/</a></p>
<!-- /wp:paragraph -->

このときテキストリンクとなるが、先頭の「!」が付いたままとなる。

●現象

→→外部ブログカード設定「ブログカード表示を有効にする」の切り替えにより、エディター上でブロックが「非サポート」となる。

●発生手順

1. →→外部ブログカード設定「ブログカード表示を有効にする」をオンにする。
2. 段落ブロックにURLを入力し、ブログカード（埋め込み）として表示させる。
3. その後、同設定をオフに切り替える。

●以前の挙動（Cocoon 2.9.0.1）

設定のオン・オフに関わらず、Gutenbergエディター上ではURL（テキスト）のまま維持されており、表示が崩れることはなかった。

●変更箇所

以下の変更箇所について。

https://github.com/xserver-inc/cocoon/commit/735c6ed3e04db1688f2fa364aa14010ef55f265b

https://github.com/xserver-inc/cocoon/commit/0304558b8188d0fb4280e9c2fdfac663a7d6d79e

●問題点

get_users や wp_dropdown_users で who パラメータが使用されていますが、WordPress 5.9.0 からこのパラメータは非推奨となっています。

https://developer.wordpress.org/reference/classes/wp_user_query/prepare_query/

そのため、今後は 'capability' => 'edit_posts' を使用すべきではないでしょうか。

以前あった、以下のトピックの再確認になろうかと思います。

Cocoon 2.9.1.1：投稿編集画面の背景が薄灰色になり、見出しのデザインも反映されない（PHP 8.5）
https://wp-cocoon.com/community/postid/88366/

結論として、WordPress更新となっていたように思いますが、Cocoon公式の見解でOKということでしょうか？

Cocoonのバージョンを更新しただけで、背景が変わるように見えるのですけれど。

（それともCocoonが、WordPressの仕様にあわせて、背景を白にするのをやめた？昔WordPressのアップデートで、背景を白にしていただいたことが、あるような記憶がうっすらと）

以下、同一環境で、Cocoon親テーマを更新しただけです。

【Cocoon 2.9.0.1】

●現象

→→NAGIのリンクをクリックすると、スキン説明ページとならない。

●原因

Skin URIの記述で、URLの前が全角スペースになっている。

https://github.com/xserver-inc/cocoon/blob/a1daf4704ef5435aa3ff580a130a6253b3a4c147/skins/nagi/style.css#L4

●補足

同梱した2.7.6当初からです。