根據應用程式自我報告的版本號碼，偵測到的 WordPress 應用程式受到下列多個弱點影響：

 - 在處理過大檔案上傳時，wp-includes/js/plupload/handlers.js 檔案內的 uploadSizeError() 函式存在 DOM 型跨網站指令碼 (XSS) 弱點，這是因為程式未正確驗證檔案名稱中的使用者輸入便在錯誤訊息中將其傳回。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內執行任意指令碼。(CVE-2017-9061)

 - 在存取貼文中繼資料時，wp-includes/class-wp-xmlrpc-server.php 檔案內的 set_custom_fields() 函式存在瑕疵，這是未正確驗證使用者提供的輸入所導致。經驗證的遠端攻擊者可利用此瑕疵，取得未經授權的中繼資料存取權。(CVE-2017-9062)

 - wp-admin/customize.php 指令碼檔案中存在儲存型跨網站指令碼 (XSS) 弱點，這是未正確驗證使用者提供的輸入便將其傳回給使用者所導致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-9063)

 - /wp-admin/includes/file.php 檔案內的 request_filesystem_credentials() 函式存在跨網站要求偽造 (XSRF) 弱點，這是因為執行特定的敏感動作時，未要求多個步驟、明確確認或唯一的權杖。未經驗證的遠端攻擊者可誘騙使用者造訪特製的連結，利用此弱點來造成使用者憑證洩漏。(CVE-2017-9064)

 - 由於缺少功能檢查，在處理貼文中繼資料時，XML-RPC API 中存在瑕疵，具體是在 wp-includes/class-wp-xmlrpc-server.php 檔案的 _insert_post() 函式內。未經驗證的遠端攻擊者可利用此瑕疵來操控張貼，而無須具備必要功能。(CVE-2017-9065)

 - wp-includes/class-http.php 檔案的 WP_Http: : request() 函式中存在瑕疵，這是未正確驗證使用者提供的輸入所導致。未經驗證的遠端攻擊者可利用此瑕疵，將使用者重新導向至攻擊者選擇的 URL。(CVE-2017-9066)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

According to its self-reported version number, the WordPress application running on the remote web server is prior to 4.7.5.
It is, therefore, affected by multiple vulnerabilities :

  - A DOM-based cross-site scripting (XSS) vulnerability     exists in the uploadSizeError() function within file     wp-includes/js/plupload/handlers.js when handling overly     large file uploads due to improper validation of     user-supplied input to file names before returning it in     error messages. An unauthenticated, remote attacker can     exploit this, via a specially crafted request, to     execute arbitrary script code in a user's browser     session. (CVE-2017-9061)

  - A flaw exists in the set_custom_fields() function within     file wp-includes/class-wp-xmlrpc-server.php when     accessing post meta data due to improper validation of     user-supplied input. An authenticated, remote attacker     can exploit this to gain unauthorized access to meta     data. (CVE-2017-9062)

  - A stored cross-site scripting (XSS) vulnerability exists     within file wp-admin/customize.php script due to     improper validation of user-supplied input to the blog     name before returning it to users. An authenticated,     remote attacker can exploit this, via a specially     crafted request, to execute arbitrary script code in a     user's browser session. (CVE-2017-9063)

  - A cross-site request forgery (XSRF) vulnerability exists     in the request_filesystem_credentials() function within     file /wp-admin/includes/file.php due to a failure to     require multiple steps, explicit confirmation, or a     unique token when performing certain sensitive actions.
    An unauthenticated, remote attacker can exploit this,     by convincing a user to follow a specially crafted link,     to disclose the user credentials. (CVE-2017-9064)

  - A flaw exists in the XML-RPC API, specifically within     file wp-includes/class-wp-xmlrpc-server.php in the
    _insert_post() function, when handling post meta data     due to a lack of capability checks. An unauthenticated,     remote attacker can exploit this to manipulate posts     without having the required capabilities.
    (CVE-2017-9065)

  - A flaw exists in the WP_Http::request() function within     file wp-includes/class-http.php due to improper     validation of user-supplied iput. An unauthenticated,     remote attacker can exploit this to redirect the user to     a URL of the attacker's choosing. (CVE-2017-9066)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョン番号によると、リモートWebサーバーで実行されているWordPressアプリケーションは、4.7.5より前です。したがって、以下の複数の脆弱性による影響を受けます：- ユーザーがファイルに入力したデータが不適切に検証されてからエラーメッセージで返されるため、アップロード処理するファイルが大きすぎるとき、DOMベースのクロスサイトスクリプティング（XSS）の脆弱性がwp-includes/js/plupload/handlers.jsファイル内のuploadSizeError()関数にあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2017-9061）- ユーザー入力が不適切に検証されるため、投稿メタデータにアクセスするとき、wp-includes/class-wp-xmlrpc-server.phpファイル内のset_custom_fields()関数に欠陥があります。認証されたリモートの攻撃者がこれを悪用し、権限なくメタデータにアクセスする可能性があります。（CVE-2017-9062）- ユーザーがブログ名に入力したデータが不適切に検証されてからユーザーに返されるため、格納型クロスサイトスクリプティングの脆弱性がwp-admin/customize.phpファイルのスクリプトにあります。認証されたリモートの攻撃者がこれを悪用して、特別に細工されたリクエストを通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行できます。（CVE-2017-9063）- 注意を要する特定のアクションを実行するとき、複数の手順、明示的な確認、または一意のトークンを要求しないため、クロスサイトリクエスト偽造（XSRF）の脆弱性が/wp-admin/includes/file.phpファイル内のrequest_filesystem_credentials()関数にあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工したリンクをたどるようにユーザーを誘導し、ユーザーの資格情報を漏えいさせる可能性があります。（CVE-2017-9064）- 機能チェックがないため、投稿メタデータを処理するとき、特にwp-includes/class-wp-xmlrpc-server.phpファイル内のXML-RPC APIに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、必要な権限なしで投稿を操作する可能性があります。（CVE-2017-9065）- ユーザーの入力が不適切に検証されるため、wp-includes/class-http.phpファイル内のWP_Http::request()関数に欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、攻撃者が選択したURLにユーザーをリダイレクトさせる可能性があります。（CVE-2017-9066）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.7.5より前の WordPress では、XML-RPC API の投稿メタデータの機能チェックが欠落しています。
    (CVE-2017-9065)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

According to its self-reported version number, the detected WordPress application is affected by multiple vulnerabilities :

 - A DOM-based cross-site scripting (XSS) vulnerability exists in the uploadSizeError() function within file wp-includes/js/plupload/handlers.js when handling overly large file uploads due to improper validation of user-supplied input to file names before returning it in error messages. An unauthenticated, remote attacker can exploit this, via a specially crafted request, to execute arbitrary script code in a user's browser session. (CVE-2017-9061)

 - A flaw exists in the set_custom_fields() function within file wp-includes/class-wp-xmlrpc-server.php when accessing post meta data due to improper validation of user-supplied input. An authenticated, remote attacker can exploit this to gain unauthorized access to meta data. (CVE-2017-9062)

 - A stored cross-site scripting (XSS) vulnerability exists within file wp-admin/customize.php script due to improper validation of user-supplied input to the blog name before returning it to users. An authenticated, remote attacker can exploit this, via a specially crafted request, to execute arbitrary script code in a user's browser session. (CVE-2017-9063)

 - A cross-site request forgery (XSRF) vulnerability exists in the request_filesystem_credentials() function within file /wp-admin/includes/file.php due to a failure to require multiple steps, explicit confirmation, or a unique token when performing certain sensitive actions. An unauthenticated, remote attacker can exploit this, by convincing a user to follow a specially crafted link, to disclose the user credentials. (CVE-2017-9064)

 - A flaw exists in the XML-RPC API, specifically within file wp-includes/class-wp-xmlrpc-server.php in the _insert_post() function, when handling post meta data due to a lack of capability checks. An unauthenticated, remote attacker can exploit this to manipulate posts without having the required capabilities. (CVE-2017-9065)

 - An flaw exists in the WP_Http::request() function within file wp-includes/class-http.php due to improper validation of user-supplied iput. An unauthenticated, remote attacker can exploit this to redirect the user to a URL of the attacker's choosing. (CVE-2017-9066)

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.5之前版本的 WordPress 中缺少对 XML-RPC API 中帖子元数据的功能检查。
    (CVE-2017-9065)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 4.7.5之前的 WordPress 中缺少針對 XML-RPC API 中張貼中繼資料的功能檢查。
    (CVE-2017-9065)

請注意，Nessus 依賴供應商報告的套件存在。

Versions of WordPress prior to 4.7.5 are affected by multiple vulnerabilities :

 - A flaw exists that allows a DOM-based cross-site scripting (XSS) attack. This flaw exists exists because the 'uploadSizeError()' function in 'wp-includes/js/plupload/handlers.js' does not validate input to file names before returning it to users in error exists messages for overly large file uploads. This may allow a context-dependent attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9061)
 - A flaw exists in the 'set_custom_fields()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered as certain input is not properly validated when accessing post meta data. This may allow an authenticated, remote attacker to gain unauthorized access to meta data. (CVE-2017-9062)
 - A flaw exists that allows a stored XSS attack. This flaw exists exists because the 'wp-admin/customize.php' script does not validate input to the blog name before returning it to users. This may allow an authenticated, remote attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9063)
 - An unspecified flaw exists in the '_insert_post()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered when handling post meta data. This may allow an attacker to have an unspecified impact. (CVE-2017-9065)
 - An unspecified flaw exists in the 'WP_Http::request()' function in 'wp-includes/class-http.php'. This may allow an attacker to trigger a redirect to an unsafe URL. (CVE-2017-9066)

ID	Name	Product	Family	Published	Updated	Severity
98290	WordPress 4.0.x < 4.0.18 多個弱點	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
100298	WordPress < 4.7.5 Multiple Vulnerabilities	Nessus	CGI abuses	5/19/2017	5/14/2025	high
100298	WordPress < 4.7.5の複数の脆弱性	Nessus	CGI abuses	5/19/2017	5/14/2025	high
254245	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9065	Nessus	Misc.	8/24/2025	8/24/2025	high
98283	WordPress 4.7.x < 4.7.5 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98287	WordPress 4.3.x < 4.3.11 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98289	WordPress 4.1.x < 4.1.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
98290	WordPress 4.0.x < 4.0.18 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	11/5/2018	3/14/2023	high
254245	Linux Distros 未修补的漏洞：CVE-2017-9065	Nessus	Misc.	8/24/2025	8/24/2025	high
254245	Linux Distros 未修補的弱點：CVE-2017-9065	Nessus	Misc.	8/24/2025	8/24/2025	high
700121	WordPress < 4.7.5 Multiple Vulnerabilities	Nessus Network Monitor	CGI	5/23/2017	3/6/2019	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high

high