根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.6.1 舊。
因此，該應用程式受到多個弱點影響：

  - 處理已上傳影像的檔案名稱時，存在一個跨網站指令碼 (XSS) 弱點，這是因為未正確驗證輸入便將其傳回給使用者所導致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2016-7168)

  - WordPress 升級套件上傳程式中存在一個路徑遊走弱點，此弱點是因不當清理使用者提供的輸入所導致。經驗證的遠端攻擊者可惡意利用此弱點，透過特製的要求，影響機密性、完整性和可用性。
    (CVE-2016-7169)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

請參閱上游公告：

- [WordPress 4.6「Pepper」](https://wordpress.org/news/2016/08/pepper/)

- [WordPress 4.6.1 安全性與維護版本](https://wordpress.org/news/2016/09/wordpress-4-6-1-security-and-maintenance-release/)

請注意，Tenable Network Security 已直接從 Fedora 更新系統網站擷取前置描述區塊。
Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。

CVE-2015-8834：WordPress 4.2.2 之前版本的 wp-includes/wp-db.php 中存在跨網站指令碼 (XSS) 弱點，遠端攻擊者可利用此弱點，透過長註釋插入任意 Web 指令碼或 HTML，該註釋由於 MySQL TEXT 資料類型的限制而被不當儲存。注意：此弱點是 CVE-2015-3440 的修正不完整所致

CVE-2016-4029：WordPress 4.5 之前的版本在判斷內部網路位址時並未考慮八進位和十六進位的 IP 位址格式，遠端攻擊者可利用這一點，透過建構的位址繞過預定的 SSRF 保護機制。

CVE-2016-5836：WordPress 4.5.3 之前版本中的 oEmbed 通訊協定實作可允許遠端攻擊者透過不明向量造成拒絕服務。

CVE-2016-6634：WordPress 4.5 之前版本的網路設定頁面中存在跨網站指令碼 (XSS) 弱點，遠端攻擊者可利用此弱點，透過不明向量插入任意 Web 指令碼或 HTML。

CVE-2016-6635：在 WordPress 4.5 之前的版本中，wp-admin/includes/ajax- actions.php 的 wp_ajax_wp_compression_test 函式中存在跨網站要求偽造 (CSRF) 弱點，遠端攻擊者可利用此弱點，劫持系統管理員對變更指令碼壓縮選項之要求的驗證。

CVE-2016-7168：修正透過影像檔案名稱實現的跨網站指令碼弱點。

CVE-2016-7169：修正升級套件上傳程式中的路徑遊走弱點。

針對 Debian 7「Wheezy」，已在 3.6.1+dfsg-1~deb7u12 版本中修正這些問題。

建議您升級 wordpress 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 wordpress (Web 部落格工具) 中發現數個弱點，遠端攻擊者可利用這些弱點，透過跨網站指令碼、跨網站要求偽造、路徑遊走或繞過限制來入侵網站。

ID	名稱	產品	系列	已發布	已更新	嚴重性
93516	WordPress < 4.6.1 多個弱點	Nessus	CGI abuses	2016/9/15	2024/6/5	medium
93630	Fedora 23：wordpress (2016-91bfe9ddb8)	Nessus	Fedora Local Security Checks	2016/9/22	2021/1/11	high
93667	Debian DLA-633-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2016/9/23	2021/1/11	high
93633	Fedora 24：wordpress (2016-a8657278bf)	Nessus	Fedora Local Security Checks	2016/9/22	2021/1/11	high
93835	Debian DSA-3681-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2016/10/4	2021/1/11	high

偵測

搜尋 Plugin

medium

high

high

high

high