根據其自我報告的版本號碼，遠端網頁伺服器上執行的 WordPress 應用程式版本比 4.7.3 舊。因此，會受到多個弱點影響：- /wp-includes/media.php 指令碼內的 wp_playlist_shortcode() 函式中存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證透過音訊檔案中繼資料傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 存在一個跨網站重新導向弱點，這是因為未能驗證透過控制字元傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的連結，將使用者從預定的合法網站重新導向至攻擊者選擇的任意網站。- 外掛程式刪除功能中存在一個不明缺陷，其允許未經驗證的遠端攻擊者刪除非預期檔案。- 存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證 YouTube 嵌入的視訊 URL 輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證分類法術語名稱，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 處理 HTTP 要求時，在 Press This 功能中存在一個跨網站要求偽造 (XSRF) 弱點，尤其是在檔案 /wp-admin/press-this.php 內，這是因為執行特定敏感動作時，無法要求多個步驟、明確確認或唯一的 token 所致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者造訪特製的連結，造成過度消耗伺服器資源。- /wp-includes/js/mediaelement/wp-playlist.min.js 指令碼內的 renderTracks() 函式中存在一個 DOM 型跨網站指令碼 (XSS) 弱點，這是因為未能驗證透過音訊檔案中繼資料傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- WordPress 的 wp-json 元件中有一個目錄遊走弱點，這是因為貼文清單中的一個錯誤所導致。未經驗證的遠端攻擊者可惡意利用此弱點，透過傳送含有目錄遊走字元的 URI，暴露伺服器限制路徑外的檔案內容。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

偵測

WordPress < 4.7.3 多個弱點

medium Nessus Plugin ID 97635

版本 1.14

版本 1.13

版本 1.12

版本 1.14 Dec 30, 2025, 4:21 PM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") CVSSv3 score source (set to "CVE-2017-6818") Exploit attributes ("Exploit available" set to "True") Plugin Feed: 202512301621
版本 1.13 May 15, 2025, 5:17 AM Detection (remove script_exclude_keys for CGI scanning) Plugin Feed: 202505150517
版本 1.12 Jun 5, 2024, 10:55 AM Required Scan configuration ("Enable cgi scanning" set to "True") Plugin Feed: 202406051055