WebブログツールWordPressにあったいくつかの脆弱性が修正されました。

CVE-2019-17669

URL検証で名前の解釈を16進文字列と見なさないために発生するServer Side Request Forgery（SSRF）の脆弱性。

CVE-2019-17670

wp_validate_redirect()で、サーバーサイドリクエスト偽造（SSRF）脆弱性が報告されました。相対URLの場所を検証する際には、パスを正規化してください。

CVE-2019-17671

静的クエリプロパティの不適切な処理のため、特定のコンテンツ（プライベート投稿または下書き投稿）が認証されずに表示される可能性があります。

CVE-2019-17675

Wordpressにおいて、管理者ページのリファラーの検証中に、型の取り違えが適切に考慮されていません。この脆弱性は、WordPress関数check_admin_referer()に影響を与えます。

Debian 8「Jessie」では、これらの問題はバージョン4.1.28+dfsg-0+deb8u1で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1980-1 : wordpress セキュリティ更新

critical Nessus プラグイン ID 130521

バージョン 1.8