根據其自我報告的版本號碼，遠端網頁伺服器上執行的 WordPress 應用程式版本比 4.7.3 舊。因此，會受到多個弱點影響：- /wp-includes/media.php 指令碼內的 wp_playlist_shortcode() 函式中存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證透過音訊檔案中繼資料傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 存在一個跨網站重新導向弱點，這是因為未能驗證透過控制字元傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可惡意利用此弱點，透過特製的連結，將使用者從預定的合法網站重新導向至攻擊者選擇的任意網站。- 外掛程式刪除功能中存在一個不明缺陷，其允許未經驗證的遠端攻擊者刪除非預期檔案。- 存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證 YouTube 嵌入的視訊 URL 輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 存在一個跨網站指令碼 (XSS) 弱點，這是因為未能驗證分類法術語名稱，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- 處理 HTTP 要求時，在 Press This 功能中存在一個跨網站要求偽造 (XSRF) 弱點，尤其是在檔案 /wp-admin/press-this.php 內，這是因為執行特定敏感動作時，無法要求多個步驟、明確確認或唯一的 token 所致。未經驗證的遠端攻擊者可惡意利用此弱點，誘騙使用者造訪特製的連結，造成過度消耗伺服器資源。- /wp-includes/js/mediaelement/wp-playlist.min.js 指令碼內的 renderTracks() 函式中存在一個 DOM 型跨網站指令碼 (XSS) 弱點，這是因為未能驗證透過音訊檔案中繼資料傳遞的輸入，便將其傳回給使用者所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。- WordPress 的 wp-json 元件中有一個目錄遊走弱點，這是因為貼文清單中的一個錯誤所導致。未經驗證的遠端攻擊者可惡意利用此弱點，透過傳送含有目錄遊走字元的 URI，暴露伺服器限制路徑外的檔案內容。請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

在 web 部落格工具 wordpress 中發現數個弱點。遠端攻擊者可藉此刪除非預期檔案、發動跨網站指令碼攻擊，或是繞過重新導向 URL 驗證機制。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 4.7.3 之前的 WordPress (wp-includes/embed.php) 中YouTube URL 內嵌中有經驗證的跨網站指令碼 (XSS)。 (CVE-2017-6817)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.7.3。因而会受到多个漏洞的影响：- /wp-includes/media.php 脚本内的 wp_playlist_shortcode() 函数中存在一个跨站脚本 (XSS) 漏洞，这是因为未能验证通过音频文件元数据传送的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。- 存在一个跨站重定向漏洞，这是因为未验证通过控制字符传递的输入即返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的链接，将用户从预定的合法网站重定向至攻击者选择的任意网站。- 插件删除功能中存在不明缺陷，允许未经身份验证的远程攻击者删除非预期文件。- 存在一个跨站脚本 (XSS) 漏洞，这是因为无法验证 YouTube 嵌入中视频 URL 的输入即将之返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。- 存在一个跨站脚本 (XSS) 漏洞，这是因为无法验证分类术语名称的输入即将之返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。- 由于在执行某些敏感操作时无法要求多个步骤、明确确认或唯一标记，在处理 HTTP 请求时，尤其是 /wp-admin/press-this.php 的 Press This 功能中存在跨站请求伪造 (XSRF) 漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户跟踪构建的链接，导致过度消耗服务器资源。- /wp-includes/js/mediaelement/wp-playlist.min.js 脚本内的 renderTracks() 函数中存在一个 DOM 型跨站脚本 (XSS) 漏洞，这是因为未能验证通过音频文件元数据传送的输入，便将其返回给用户所致。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。- WordPress 的 wp-json 组件中存在一个目录遍历漏洞，这是因为贴文列表中的一个错误所导致。未经验证的远程攻击者可利用此问题，通过发送包含目录遍历字符的 URI，泄露服务器受限路径外的文件内容。请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞将允许远程攻击者删除非预期文件、进行跨站脚本攻击或绕过重定向 URL 验证机制。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.3 (wp-includes/embed.php) 之前的 WordPress 中 YouTube URL 嵌入中存在经身份验证的跨站脚本 (XSS)。 (CVE-2017-6817)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
97635	WordPress < 4.7.3 多個弱點	Nessus	CGI abuses	3/9/2017	5/14/2025	medium
97922	Debian DSA-3815-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	3/24/2017	1/11/2021	medium
253944	Linux Distros 未修補的弱點：CVE-2017-6817	Nessus	Misc.	8/24/2025	8/24/2025	medium
97635	WordPress < 4.7.3 多个漏洞	Nessus	CGI abuses	3/9/2017	5/14/2025	medium
97922	Debian DSA-3815-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	3/24/2017	1/11/2021	medium
253944	Linux Distros 未修补的漏洞：CVE-2017-6817	Nessus	Misc.	8/24/2025	8/24/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium