Ripstech TechnologiesのSimon Scannell氏は、Webブログ管理者のwordpressに複数の脆弱性を発見しました。CVE-2019-8942：wordpressでは_wp_attached_file Post Metaエントリを.jpg?file.phpサブストリングで終わるような任意の文字列に変更できるため、リモートでコードが実行される可能性があります。作成者権限を持つ攻撃者は、ExifメタデータにPHPコードを含む細工された画像をアップロードすることで、任意のコードを実行する可能性があります。CVE-2019-9787：wordpressはコメントのコンテンツを適切にフィルタリングしないため、デフォルトの構成で認証されていないユーザーによってリモートでコードが実行される可能性があります。これは、CSRF保護が不適切に処理され、A要素の検索エンジンの最適化が正しく実行されず、XSSを引き起こすために発生します。XSSにより管理アクセス権が取得されます。Debian 8「Jessie」では、これらの問題はバージョン4.1.26+dfsg-1+deb8u1で修正されました。お使いのwordpressパッケージをアップグレードすることを推奨します。注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

検出

Debian DLA-1742-1：wordpressセキュリティ更新プログラム

high Nessus プラグイン ID 123529

変更ログが見つかりません