現已提供 **WordPress 4.5.2**。這是適用於所有先前版本的安全性版本，我們強烈建議您立即更新網站。

請參閱 [版本公告](https://wordpress.org/news/2016/05/wordpress-4-5-2/)

---

**套件變更**

- 提供 nginx 組態

- 中斷 httpd (僅建議) 和 mod_php (php-fpm 適用) 的強制相依性

- 保護上傳目錄中的 php 檔案

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供 **WordPress 4.5.2**。這是適用於所有先前版本的安全性版本，我們強烈建議您立即更新網站。

請參閱 [版本公告](https://wordpress.org/news/2016/05/wordpress-4-5-2/)

----

現已提供 WordPress 4.5.1 並修正了 12 個錯誤。

請參閱 [版本公告](https://wordpress.org/news/2016/04/wordpress-4-5-1-maintenance-release/)

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 版之前的 WordPress 所用的 2.1.94.5.2版之前的 Plupload 中plupload.flash.swf 的跨網站指令碼 (XSS) 弱點可讓遠端攻擊者透過同源方法執行 (SOME) 攻擊插入任意 Web 指令碼或 HTML 。 (CVE-2016-4566)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Helen Hou-Sandi 報告：

現已提供 WordPress 4.5.2。這是適用於所有先前版本的安全性版本，我們強烈建議您立即更新網站。

WordPress 4.5.1 版及更舊版本受到一個透過 Plupload (WordPress 用於上傳檔案的第三方程式庫) 造成的 SOME 弱點影響。WordPress 4.2 到 4.5.1 版受到使用特製 URI 造成的反射式 XSS 弱點影響，其是透過用於媒體播放程式的第三方程式庫 MediaElement.js 觸發。
MediaElement.js 和 Plupload 也已發佈更新，可修正這些問題。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.5.2 舊。
因此，該應用程式受到以下弱點影響：

  - ImageMagick 程式庫中存在一個遠端程式碼執行弱點 (稱為 ImageTragick)，這是因為無法正確篩選傳遞至委派命令之檔案名稱中的 shell 字元所導致。遠端攻擊者可惡意利用此弱點，透過特製的影像插入 shell 命令及執行任意程式碼。
    (CVE-2016-3714)

  - ImageMagick 程式庫的「暫時」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者刪除任意檔案。(CVE-2016-3715)

  - ImageMagick 程式庫的「ms」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者將任意檔案移至任意位置。(CVE-2016-3716)

  - ImageMagick 程式庫的「標籤」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者透過特製影像讀取任意檔案。
    (CVE-2016-3717)

  - 存在一個伺服器端要求偽造 (SSRF) 弱點，這是因一個與使用者和伺服器之間的要求處理相關的不明缺陷所致。遠端攻擊者可惡意利用此問題，透過具有特製填滿元素的 MVG 檔案，繞過存取限制並發動主機型攻擊。
    (CVE-2016-3718)

  - Plupload 中存在一個不明缺陷，會允許攻擊者執行同源方法執行。
    (CVE-2016-4566)

  - MediaElement.js 中存在一個反映式跨網站指令碼弱點，是因不當驗證使用者提供的輸入所導致。內容相依的攻擊者可惡意利用此弱點，透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2016-4567)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
92180	Fedora 24：wordpress (2016-d9bd0c4830)	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
92166	Fedora 23：wordpress (2016-cf91320535)	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
92193	Fedora 22：wordpress (2016-e97a850183)	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
254621	Linux Distros 未修補的弱點：CVE-2016-4566	Nessus	Misc.	2025/8/25	2025/8/25	medium
91027	FreeBSD：wordpress -- 多個弱點 (3686917b-164d-11e6-94fa-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	WordPress < 4.5.2 多個弱點 (ImageTragick)	Nessus	CGI abuses	2016/5/12	2025/5/14	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high