已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞允许远程攻击者执行 SQL 注入以及各种跨站脚本 (XSS) 和服务器端请求伪造 (SSRF) 攻击，并绕过某些访问限制。

在 Web 部落格工具 Wordpress 中發現數個弱點。遠端攻擊者可藉這些弱點執行 SQL 注入攻擊和各種跨網站指令碼 (XSS) 與伺服器端要求偽造 (SSRF) 攻擊，以及繞過部分存取限制。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - WordPress before 4.8.3 is affected by an issue where $wpdb->prepare() can create unexpected and unsafe     queries leading to potential SQL injection (SQLi) in plugins and themes, as demonstrated by a double     prepare approach, a different vulnerability than CVE-2017-14723. (CVE-2017-16510)

Note that Nessus relies on the presence of the package as reported by the vendor.

WordPress, a web blogging tool, was affected by an issue where $wpdb->prepare() can create unexpected and unsafe queries leading to potential SQL injection (SQLi) in plugins and themes, as demonstrated by a 'double prepare' approach, a different vulnerability than CVE-2017-14723.

For Debian 7 'Wheezy', these problems have been fixed in version 3.6.1+dfsg-1~deb7u18.

We recommend that you upgrade your wordpress packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

According to its self-reported version number, the WordPress application running on the remote web server is prior to 4.8.3.
It is, therefore, affected by a SQL Injection vulnerability and other vulnerabilities:

  - WordPress through 4.8.2 uses a weak MD5-based     password hashing algorithm, which makes it easier for     attackers to determine cleartext values by leveraging     access to the hash values.

  - WordPress through 4.8.2, when domain-based     flashmediaelement.swf sandboxing is not used, allows     remote attackers to conduct cross-domain Flash     injection (XSF) attacks by leveraging code contained     within the wp-includes/js/mediaelement/flashmediaelement.swf     file.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 4.8.3 之前的 WordPress 受到一個問題影響其中 $wpdb->prepare() 可建立未預期且不安全的查詢導致外掛程式和主題中可能發生 SQL 插入 (SQLi)重複準備方法即為一例此弱點不同於 CVE-2017-14723。 (CVE-2017-16510)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Web 部落格工具 WordPress 受到一個問題影響，其中 $wpdb->prepare() 會建立非預期和不安全的查詢，導致外掛程式和主題中可能會產生 SQL 插入 (表現方式為「double prepare」方法)，這是不同於 CVE-2017-14723 的弱點。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u18 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.8.3 舊。
因此，會受到 SQL 插入弱點和其他弱點影響：

  - WordPress 4.8.2 及之前版本使用弱式 MD5 型密碼雜湊演算法，攻擊者可藉此利用雜湊值的存取權更容易地判斷純文字值。

  - 對於 WordPress 4.8.2 之前的版本，當未使用網域型 flashmediaelement.swf 沙箱時，遠端攻擊者可利用 wp-includes/js/mediaelement/flashmediaelement.swf 檔案內包含的程式碼，進行跨網域 Flash 插入 (XSF) 攻擊。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.8.3 以前の WordPress は、 $wpdb-> prepare() が予期しない安全でないクエリを作成できる問題に影響を受けます。これは、プラグインおよびテーマで SQL インジェクションSQLiを引き起こす可能性があります。これは、二重準備アプローチによって実証されており、 CVE-2017-14723とは異なる脆弱性] です。 CVE-2017-16510

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

WebブログツールであるWordPressが、$wpdb->prepare()により予期しない安全でないクエリが作成され、プラグインおよびテーマでSQLインジェクション（SQLi）が発生する可能性のある問題の影響を受けていました。これは、「二重準備」アプローチにより実証されているように、CVE-2017-14723とは異なる脆弱性です。

Debian 7「Wheezy」では、これらの問題は、バージョン3.6.1+dfsg-1~deb7u18.で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている WordPress アプリケーションは、4.8.3 より前のものです。
したがって、SQLインジェクションの脆弱性およびその他の脆弱性の影響を受けます。

  - 4.8.2までのWordPressは、脆弱なMD5ベースのパスワードハッシュ化アルゴリズムを使用しています。これにより、攻撃者が、ハッシュ値へのアクセスを利用して、平文の値を判断するのが容易になります。

  - 4.8.2までのWordPressでは、ドメインベースのflashmediaelement.swfサンドボックスが使用されていないとき、リモート攻撃者がwp-includes/js/mediaelement/flashmediaelement.swfファイル内に含まれるコードを活用してクロスドメインフラッシュインジェクション（XSF）攻撃を実施する可能性があります。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 4.8.3 之前的 WordPress 受到一个问题的影响其中 $wpdb->prepare() 会创建意外且不安全的查询从而导致插件和主题中可能出现 SQL 注入 (SQLi)这一点已由双重准备方法证实此漏洞与 CVE-2017-14723。 (CVE-2017-16510)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.8.3。
因此，该应用程式受到 SQL 注入漏洞和其他漏洞的影响：

  - WordPress 4.8.2 及之前的版本使用基于 MD5 的弱密码哈希算法，使攻击者更容易通过利用访问哈希值来确定明文值。

  - WordPress 4.8.2 及以下版本未使用基于域的 when domain-based flashmediaelement.swf 沙盒时，允许攻击者利用包含在 wp-includes/js/mediaelement/flashmediaelement.swf 文件中的代码发动跨域 Flash 注入 (XSF) 攻击。

网络博客工具 WordPress 受到一个问题的影响，其中 $wpdb->prepare() 可能创建意外且不安全的查询，从而导致插件和主题中可能的 SQL 注入 (SQLi)，正如不同于 CVE-2017-14723 的漏洞“双重准备”方法所示。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u18 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名稱	產品	系列	已發布	已更新	嚴重性
106109	Debian DSA-4090-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2018/1/18	2025/11/3	critical
106109	Debian DSA-4090-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2018/1/18	2025/11/3	critical
254988	Linux Distros Unpatched Vulnerability : CVE-2017-16510	Nessus	Misc.	2025/8/25	2025/8/25	critical
104398	Debian DLA-1160-1 : wordpress security update	Nessus	Debian Local Security Checks	2017/11/6	2025/11/14	critical
104356	WordPress < 4.8.3 Multiple Vulnerabilities	Nessus	CGI abuses	2017/11/2	2025/11/17	critical
254988	Linux Distros 未修補的弱點：CVE-2017-16510	Nessus	Misc.	2025/8/25	2025/8/25	critical
104398	Debian DLA-1160-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/11/6	2025/11/14	critical
104356	WordPress < 4.8.3 多個弱點	Nessus	CGI abuses	2017/11/2	2025/11/17	critical
254988	Linux Distros のパッチ未適用の脆弱性: CVE-2017-16510	Nessus	Misc.	2025/8/25	2025/8/25	critical
104398	Debian DLA-1160-1: wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2017/11/6	2025/11/14	critical
104356	WordPress < 4.8.3の複数の脆弱性	Nessus	CGI abuses	2017/11/2	2025/11/17	critical
254988	Linux Distros 未修补的漏洞：CVE-2017-16510	Nessus	Misc.	2025/8/25	2025/8/25	critical
104356	WordPress < 4.8.3 多个漏洞	Nessus	CGI abuses	2017/11/2	2025/11/17	critical
104398	Debian DLA-1160-1：wordpress 安全更新	Nessus	Debian Local Security Checks	2017/11/6	2025/11/14	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical