根據應用程式自我報告的版本號碼，偵測到的 WordPress 應用程式受到下列多個弱點影響：

 - 在處理過大檔案上傳時，wp-includes/js/plupload/handlers.js 檔案內的 uploadSizeError() 函式存在 DOM 型跨網站指令碼 (XSS) 弱點，這是因為程式未正確驗證檔案名稱中的使用者輸入便在錯誤訊息中將其傳回。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內執行任意指令碼。(CVE-2017-9061)

 - 在存取貼文中繼資料時，wp-includes/class-wp-xmlrpc-server.php 檔案內的 set_custom_fields() 函式存在瑕疵，這是未正確驗證使用者提供的輸入所導致。經驗證的遠端攻擊者可利用此瑕疵，取得未經授權的中繼資料存取權。(CVE-2017-9062)

 - wp-admin/customize.php 指令碼檔案中存在儲存型跨網站指令碼 (XSS) 弱點，這是未正確驗證使用者提供的輸入便將其傳回給使用者所導致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-9063)

 - /wp-admin/includes/file.php 檔案內的 request_filesystem_credentials() 函式存在跨網站要求偽造 (XSRF) 弱點，這是因為執行特定的敏感動作時，未要求多個步驟、明確確認或唯一的權杖。未經驗證的遠端攻擊者可誘騙使用者造訪特製的連結，利用此弱點來造成使用者憑證洩漏。(CVE-2017-9064)

 - 由於缺少功能檢查，在處理貼文中繼資料時，XML-RPC API 中存在瑕疵，具體是在 wp-includes/class-wp-xmlrpc-server.php 檔案的 _insert_post() 函式內。未經驗證的遠端攻擊者可利用此瑕疵來操控張貼，而無須具備必要功能。(CVE-2017-9065)

 - wp-includes/class-http.php 檔案的 WP_Http: : request() 函式中存在瑕疵，這是未正確驗證使用者提供的輸入所導致。未經驗證的遠端攻擊者可利用此瑕疵，將使用者重新導向至攻擊者選擇的 URL。(CVE-2017-9066)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-8295 可能的未經授權密碼重設弱點。更多詳細資訊請參閱：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 有人嘗試上傳極大的檔案時，存在一個跨網站指令碼 (XSS) 弱點。CVE-2017-9062 在 XML-RPC API 中發表中繼資料值處理不當。CVE-2017-9063 自訂程式中存在跨網站指令碼 (XSS) 弱點。CVE-2017-9064 檔案系統認證對話方塊中存在跨網站要求偽造 (CSRF) 弱點。CVE-2017-9065 XML-RPC API 中缺少發表中繼資料的功能檢查。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u15 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 WordPress 應用程式版本比 4.7.5 舊。因此，會受到多個弱點影響：- 在處理過大檔案上傳時，檔案 wp-includes/js/plupload/handlers.js 內的 uploadSizeError() 函式中存在一個 DOM 型跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者對檔案名稱提供的輸入便在錯誤訊息中將其傳回所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。(CVE-2017-9061) - 在存取張貼中繼資料時，檔案 wp-includes/class-wp-xmlrpc-server.php 內的 set_custom_fields() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。經驗證的遠端攻擊者可加以惡意利用，取得中繼資料的未經授權存取權。(CVE-2017-9062) - 在指令碼檔案 wp-admin/customize.php 中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-9063) - 在檔案 /wp-admin/includes/file.php 內的 request_filesystem_credentials() 函式中存在一個跨網站要求偽造 (XSRF) 弱點，這是因為執行特定敏感動作時，無法要求多個步驟、明確確認或唯一的 token 所致。未經驗證的遠端攻擊者可加以惡意利用，藉由誘騙使用者造訪特製連結，藉此洩漏使用者認證。(CVE-2017-9064) - 在處理張貼中繼資料時，XML-RPC API 中存在一個缺陷，尤其是在檔案 wp-includes/class-wp-xmlrpc-server.php 的 _insert_post() 函式內，這是因為缺少功能檢查所致。未經驗證的遠端攻擊者可加以惡意利用，無須具備必要功能便可操控張貼。(CVE-2017-9065) - 檔案 wp-includes/class-http.php 內的 WP_Http::request() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，將使用者重新導向至攻擊者選擇的 URL。(CVE-2017-9066) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

在 web 部落格工具 wordpress 中發現數個弱點。遠端攻擊者可利用此弱點強制重設密碼，並執行各種跨網站指令碼和跨網站要求偽造攻擊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
98291	WordPress 3.9.x < 3.9.19 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98285	WordPress 4.5.x < 4.5.9 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98288	WordPress 4.2.x < 4.2.15 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98286	WordPress 4.4.x < 4.4.10 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98293	WordPress 3.7.x < 3.7.21 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98284	WordPress 4.6.x < 4.6.6 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98292	WordPress 3.8.x < 3.8.21 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98283	WordPress 4.7.x < 4.7.5 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98287	WordPress 4.3.x < 4.3.11 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98289	WordPress 4.1.x < 4.1.18 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98290	WordPress 4.0.x < 4.0.18 多個弱點	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
100602	Debian DLA-975-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
100298	WordPress < 4.7.5 多個弱點	Nessus	CGI abuses	2017/5/19	2024/6/5	high
100561	Debian DSA-3870-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high