發佈為 DLA-1151-1 的 CVE-2017-14990 修正不完整，會造成迴歸問題。發現有必要進行額外的資料庫升級和進一步的程式碼變更。但在當時認為這些變更侵入性過強，因而再次移除 CVE-2017-14990 的初始修補程式。原始公告文字如下，僅供參考。WordPress 儲存明文的 wp_signups.activation_key 值 (但類似的 wp_users.user_activation_key 值卻儲存為雜湊值)，使得遠端攻擊者可輕易地利用資料庫的讀取權限 (如透過不明 SQL 插入弱點取得的存取權)，藉此劫持未啟動的使用者帳號。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u19 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-1151-2：wordpress 迴歸更新

high Nessus Plugin ID 104300

找不到變更記錄