Debian DLA-568-1：wordpress 安全性更新

high Nessus Plugin ID 92632

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。

CVE-2016-5387 WordPress 允許遠端攻擊者透過不明向量，繞過預定的存取限制並從貼文中移除類別屬性。

CVE-2016-5832 WordPress 中的自訂員允許遠端攻擊者透過不明向量，繞過預定的重新導向限制。

CVE-2016-5834 在 WordPress 的 wp-includes/post- template.php 中，wp_get_attachment_link 函式有跨網站指令碼 (XSS) 弱點，允許遠端攻擊者透過特製的附件名稱，插入任意 web 指令碼或 HTML。

CVE-2016-5835 WordPress 允許遠端攻擊者利用讀取 wp-admin/includes/ajax-actions.php 和 wp-admin/revision.php 相關貼文的能力，取得敏感的修訂歷程記錄資訊。

CVE-2016-5838 WordPress 允許遠端攻擊者利用所知的 cookie，繞過預定的密碼變更限制。

CVE-2016-5839 WordPress 允許遠端攻擊者透過不明向量繞過 sanitize_file_name 保護機制。

針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u11 版本中修正。

建議您升級 wordpress 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。