According to its self-reported version number, the detected WordPress application is affected by multiple vulnerabilities :

 - A DOM-based cross-site scripting (XSS) vulnerability exists in the uploadSizeError() function within file wp-includes/js/plupload/handlers.js when handling overly large file uploads due to improper validation of user-supplied input to file names before returning it in error messages. An unauthenticated, remote attacker can exploit this, via a specially crafted request, to execute arbitrary script code in a user's browser session. (CVE-2017-9061)

 - A flaw exists in the set_custom_fields() function within file wp-includes/class-wp-xmlrpc-server.php when accessing post meta data due to improper validation of user-supplied input. An authenticated, remote attacker can exploit this to gain unauthorized access to meta data. (CVE-2017-9062)

 - A stored cross-site scripting (XSS) vulnerability exists within file wp-admin/customize.php script due to improper validation of user-supplied input to the blog name before returning it to users. An authenticated, remote attacker can exploit this, via a specially crafted request, to execute arbitrary script code in a user's browser session. (CVE-2017-9063)

 - A cross-site request forgery (XSRF) vulnerability exists in the request_filesystem_credentials() function within file /wp-admin/includes/file.php due to a failure to require multiple steps, explicit confirmation, or a unique token when performing certain sensitive actions. An unauthenticated, remote attacker can exploit this, by convincing a user to follow a specially crafted link, to disclose the user credentials. (CVE-2017-9064)

 - A flaw exists in the XML-RPC API, specifically within file wp-includes/class-wp-xmlrpc-server.php in the _insert_post() function, when handling post meta data due to a lack of capability checks. An unauthenticated, remote attacker can exploit this to manipulate posts without having the required capabilities. (CVE-2017-9065)

 - An flaw exists in the WP_Http::request() function within file wp-includes/class-http.php due to improper validation of user-supplied iput. An unauthenticated, remote attacker can exploit this to redirect the user to a URL of the attacker's choosing. (CVE-2017-9066)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

Web ブログツールである wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています。

CVE-2017-8295

権限のないパスワードリセットの脆弱性の可能性。詳細については次を参照してください:

https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset
-0day-CVE-2017-8295.html

CVE-2017-9061

非常に大きなファイルをアップロードしようとするとき、クロスサイトスクリプティング（XSS）の脆弱性があります。

CVE-2017-9062

XML-RPC APIのポストメタデータ値の不適切な処理。

CVE-2017-9063

カスタマイザーのクロスサイトスクリプティング（XSS）の脆弱性。

CVE-2017-9064

ファイルシステムの認証情報ダイアログに、クロスサイトリクエスト偽造（CSRF）の脆弱性が存在します。

CVE-2017-9065

XML-RPC APIのポストメタデータに対する機能チェックの欠如。

Debian 7「Wheezy」では、これらの問題は、バージョン3.6.1+dfsg-1~deb7u15で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.7.5より前の WordPress では、認証情報の更新に nonce が必要ないため、ファイルシステム認証情報ダイアログにクロスサイトリクエスト偽造CSRFの脆弱性が存在します。CVE-2017-9064

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-8295 潜在的未经授权密码重置漏洞。更多信息请参阅：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 当有人尝试上传非常大的文件时，存在跨站脚本 (XSS) 漏洞。CVE-2017-9062 未正确处理 XML-RPC API 中的文章元数据值。CVE-2017-9063 定制器中的跨站脚本 (XSS) 漏洞。CVE-2017-9064 文件系统凭据对话框中存在一个跨站请求伪造 (CSRF) 漏洞。CVE-2017-9065 未对 XML-RPC API 中的文章元数据进行功能检查。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u15 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.5之前的 WordPress 中文件系统凭据对话框中存在一个跨站请求伪造 (CSRF) 漏洞因为更新凭据不需要临时信息。 (CVE-2017-9064)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-8295 可能的未經授權密碼重設弱點。更多詳細資訊請參閱：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 有人嘗試上傳極大的檔案時，存在一個跨網站指令碼 (XSS) 弱點。CVE-2017-9062 在 XML-RPC API 中發表中繼資料值處理不當。CVE-2017-9063 自訂程式中存在跨網站指令碼 (XSS) 弱點。CVE-2017-9064 檔案系統認證對話方塊中存在跨網站要求偽造 (CSRF) 弱點。CVE-2017-9065 XML-RPC API 中缺少發表中繼資料的功能檢查。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u15 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 WordPress 4.7.5之前的版本中檔案系統認證對話方塊中有一個跨網站要求偽造 (CSRF) 弱點這是因為更新認證不需要 nonce 所致。 (CVE-2017-9064)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	Name	Product	Family	Published	Updated	Severity
98283	WordPress 4.7.x < 4.7.5 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98287	WordPress 4.3.x < 4.3.11 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98289	WordPress 4.1.x < 4.1.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98290	WordPress 4.0.x < 4.0.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
100602	Debian DLA-975-1: wordpress セキュリティ更新	Nessus	Debian Local Security Checks	6/5/2017	1/11/2021	high
253866	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9064	Nessus	Misc.	8/24/2025	8/24/2025	high
100602	Debian DLA-975-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	6/5/2017	1/11/2021	high
253866	Linux Distros 未修补的漏洞：CVE-2017-9064	Nessus	Misc.	8/24/2025	8/24/2025	high
100602	Debian DLA-975-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	6/5/2017	1/11/2021	high
253866	Linux Distros 未修補的弱點：CVE-2017-9064	Nessus	Misc.	8/24/2025	8/24/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high