The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - WordPress before 4.9.9 and 5.x before 5.0.1 allows remote code execution because an _wp_attached_file Post     Meta entry can be changed to an arbitrary string, such as one ending with a .jpg?file.php substring. An     attacker with author privileges can execute arbitrary code by uploading a crafted image containing PHP     code in the Exif metadata. Exploitation can leverage CVE-2019-8943. (CVE-2019-8942)

Note that Nessus relies on the presence of the package as reported by the vendor.

Ripstech TechnologiesのSimon Scannell氏は、Webブログ管理者のwordpressに複数の脆弱性を発見しました。CVE-2019-8942：wordpressでは_wp_attached_file Post Metaエントリを.jpg?file.phpサブストリングで終わるような任意の文字列に変更できるため、リモートでコードが実行される可能性があります。作成者権限を持つ攻撃者は、ExifメタデータにPHPコードを含む細工された画像をアップロードすることで、任意のコードを実行する可能性があります。CVE-2019-9787：wordpressはコメントのコンテンツを適切にフィルタリングしないため、デフォルトの構成で認証されていないユーザーによってリモートでコードが実行される可能性があります。これは、CSRF保護が不適切に処理され、A要素の検索エンジンの最適化が正しく実行されず、XSSを引き起こすために発生します。XSSにより管理アクセス権が取得されます。Debian 8「Jessie」では、これらの問題はバージョン4.1.26+dfsg-1+deb8u1で修正されました。お使いのwordpressパッケージをアップグレードすることを推奨します。注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.9.9 より前の WordPress および 5.x5.0.1 より前の WordPress では、_wp_attached_file Post Meta エントリが .jpg?file.php サブストリングで終わるような任意の文字列に変更できるため、リモートコードの実行が可能です。作成者権限を持つ攻撃者は、ExifメタデータにPHPコードを含む細工された画像をアップロードすることで、任意のコードを実行する可能性があります。悪用は CVE-2019-8943を利用できます。CVE-2019-8942

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Simon Scannell of Ripstech Technologies discovered multiple vulnerabilities in wordpress, a web blogging manager.

CVE-2019-8942

remote code execution in wordpress because an _wp_attached_file Post Meta entry can be changed to an arbitrary string, such as one ending with a .jpg?file.php substring. An attacker with author privileges can execute arbitrary code by uploading a crafted image containing PHP code in the Exif metadata.

CVE-2019-9787

wordpress does not properly filter comment content, leading to Remote Code Execution by unauthenticated users in a default configuration.
This occurs because CSRF protection is mishandled, and because Search Engine Optimization of A elements is performed incorrectly, leading to XSS. The XSS results in administrative access.

For Debian 8 'Jessie', these problems have been fixed in version 4.1.26+dfsg-1+deb8u1.

We recommend that you upgrade your wordpress packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 4.9.9 之前的 WordPress 和 5.x 之前的 5.0.1 允許遠端程式碼執行因為 _wp_attached_file Post Meta 項目可變更為任意字串例如以 .jpg?file.php 子字串結尾的字串。具備作者權限的攻擊者可在 Exif 中繼資料中上傳含有 PHP 程式碼的特製影像，以執行任意程式碼。惡意利用可利用 CVE-2019-8943。 (CVE-2019-8942)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Ripstech Technologies 的 Simon Scannell 在 wordpress (一種 Web 部落格管理程式) 中發現多個弱點。CVE-2019-8942 由於可將 _wp_attached_file Post Meta 項目變更為任意字串 (如以.jpg?file.php 子字串結尾的字串)，所以可在 wordpress 中執行遠端程式碼。具備作者權限的攻擊者可在 Exif 中繼資料中上傳含有 PHP 程式碼的特製影像，以執行任意程式碼。CVE-2019-9787 wordpress 未適當篩選意見內容，導致未經驗證的使用者可在預設的組態中進行遠端程式碼執行。這個問題之所以會發生，是因為 CSRF 防護處理不當，而且也是因為 A 元素的搜尋引擎最佳化 (Search Engine Optimization) 未正確執行，因而導致 XSS。XSS 會造成管理存取權限問題。針對 Debian 8「Jessie」，這些問題已在 4.1.26+dfsg-1+deb8u1 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 低于 4.9.9 的WordPress 和低于 [ 5.x 的 5.0.1 的 WordPress 允许远程代码执行因为可以在 _wp_attached_file Post Meta 条目中更改为任意字符串例如以 .jpg?file.php 子字符串结尾的字符串。有作者权限的攻击者可在 Exif 元数据中上传含有 PHP 代码的特制图像，进而执行任意代码。漏洞利用可以利用 CVE-2019-8943。 (CVE-2019-8942)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

WebブログツールであるWordpressで、複数の脆弱性が発見されました。これらの脆弱性により、リモート攻撃者がさまざまなクロスサイドスクリプティング（XSS）攻撃およびPHPインジェクション攻撃を実行したり、ファイルを削除したり、機密データを漏洩したり、承認されていないタイプの投稿を作成したり、アプリケーションのクラッシュによりサービス拒否を引き起こしたりする可能性があります。

在 Web 部落格工具 Wordpress 中發現數個弱點。它們可讓遠端攻擊者執行各種跨網站指令碼 (XSS) 和 PHP 插入攻擊、刪除檔案、洩漏可能敏感的資料、建立未經授權的類型的文章，或因應用程式損毀而導致拒絕服務。

Several vulnerabilities were discovered in Wordpress, a web blogging tool. They allowed remote attackers to perform various Cross-Side Scripting (XSS) and PHP injections attacks, delete files, leak potentially sensitive data, create posts of unauthorized types, or cause denial-of-service by application crash.

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞使得远程攻击者能够发动多种跨站脚本 (XSS) 和 PHP 注入攻击、删除文件、可能泄露敏感数据、创建未经授权类型的帖子或通过应用程序崩溃造成拒绝服务。

Ripstech Technologies 的 Simon Scannell 在 wordpress（一种 Web 博客管理器）中发现多个漏洞。CVE-2019-8942 由于可将 _wp_attached_file Post Meta 条目变更为任意字符串（如以.jpg?file.php 子字符串结尾的字符串），所以可在 wordpress 中执行远程代码。有作者权限的攻击者可在 Exif 元数据中上传含有 PHP 代码的特制图像，进而执行任意代码。CVE-2019-9787 wordpress 未适当筛选评论内容，导致未经身份验证的用户可在默认配置中进行远程代码执行。这个问题之所以会发生，是因为 CSRF 保护处理不当，而且也是因为 A 元素的搜索引擎优化 (Search Engine Optimization) 未正确执行，进而导致 XSS。XSS 会造成管理访问权限问题。对于 Debian 8“Jessie”，这些问题已在 4.1.26+dfsg-1+deb8u1 版本中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	Name	Product	Family	Published	Updated	Severity
254117	Linux Distros Unpatched Vulnerability : CVE-2019-8942	Nessus	Misc.	8/24/2025	8/24/2025	high
123529	Debian DLA-1742-1：wordpressセキュリティ更新プログラム	Nessus	Debian Local Security Checks	4/1/2019	1/11/2021	high
254117	Linux Distros のパッチ未適用の脆弱性: CVE-2019-8942	Nessus	Misc.	8/24/2025	8/24/2025	high
123529	Debian DLA-1742-1 : wordpress security update	Nessus	Debian Local Security Checks	4/1/2019	1/11/2021	high
254117	Linux Distros 未修補的弱點：CVE-2019-8942	Nessus	Misc.	8/24/2025	8/24/2025	high
123529	Debian DLA-1742-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	4/1/2019	1/11/2021	high
254117	Linux Distros 未修补的漏洞：CVE-2019-8942	Nessus	Misc.	8/24/2025	8/24/2025	high
122551	DebianDSA-4401-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	3/4/2019	6/18/2024	critical
122551	Debian DSA-4401-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	3/4/2019	6/18/2024	critical
122551	Debian DSA-4401-1 : wordpress - security update	Nessus	Debian Local Security Checks	3/4/2019	6/18/2024	critical
122551	Debian DSA-4401-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	3/4/2019	6/18/2024	critical
123529	Debian DLA-1742-1：wordpress 安全更新	Nessus	Debian Local Security Checks	4/1/2019	1/11/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

critical

critical

critical

critical

high