在 web 部落格工具 Wordpress 中發現數個弱點。由於 CVE 已從版本公告中配置，而且通常不會識別特定的修正，因此已決定將 Wordpress 套件升級至最新的上游版本，而非反向移植修補程式。

這表示在升級時須另外留意，特別是當使用第三方外掛程式或主題時，因為整個過程中的相容性都可能受到影響。我們建議使用者先檢查其安裝，再進行升級。

- CVE-2013-4338 wp-includes/functions.php 中不安全的 PHP 未序列化問題，可造成任意程式碼執行。

- CVE-2013-4339 輸入驗證不充分，其可導致重新導向或將使用者引導至其他網站。

- CVE-2013-4340 權限提升問題允許具備作者角色的使用者建立看似由其他使用者撰寫的項目。

- CVE-2013-5738 上傳 .html/.html 檔案時需要用到的功能項目不足，使經驗證的使用者更容易利用特製的 html 檔案上傳作業，發動跨網站指令碼攻擊 (XSS)。

- CVE-2013-5739 預設的 Wordpress 組態允許上傳 .swf/.exe 檔案，使經驗證的使用者更容易發動跨網站指令碼攻擊 (XSS)。

偵測

Debian DSA-2757-1 : wordpress - 數個弱點

high Nessus Plugin ID 69895

找不到變更記錄