Fedora 43:wordpress(2026-5c9d8e41a9)

high Nessus プラグイン ID 362833

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 43 ホストには、FEDORA-2026-5c9d8e41a9 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

## WordPress 6.9.9 セキュリティリリース

このリリースに含まれるセキュリティ更新

- 条件付きRCEを引き起こすページテンプレート解決の認証されていないパストラバーサル
**CVE-2026-87902**

----

## WordPress 6.9.8 セキュリティリリース

このリリースに含まれるセキュリティ更新

- wpautop() に保存されたクロスサイトスクリプティングによって、認証されていない訪問者がスクリプトを注入することが可能です(コメントの承認が必要)ことが、Rafie Muhammad 氏(Awesome Motive, Inc.) により報告されています。
- HTML API:set_modifiable_text() により、突然終了するシーケンスを介してコメントが中断される可能性があります。これは、WordPress セキュリティチームの Jeremy Felt 氏により報告されました。
- カスタムヘッダーをサポートする一部のテーマに蓄積された XSS が、WordPress セキュリティチームの Jeremy Felt 氏により報告されました。
- 特別に細工された URL により、WordPress.org から非アクティブなテーマが自動的にインストールされ、プレビューされる可能性があります。Paulos Yibelo 氏および pwn.ai 氏は報告しています。
- サイト管理者は、インストールされているネットワーク専用プラグインをネットワークアクティブ化できます。Jesse McNeil 氏による報告。
- WP REST Templates Controller の認証されたパストラバーサル。Anthropic による報告。
- XML-RPC は、edit_cssのチェックをバイパスするcustomize_changeset投稿を公開するために使用できます。これは、WordPress セキュリティチームの Ben Bider 氏により報告されました。
- Contributor+ 任意の投稿の上書き、Anthropic による報告。
- attachment_submitbox_metadata() read_post チェックインがないと、プライベートな親投稿タイトルが漏洩します。HDWSec により報告されています。
- 権限がないために、Contributor+ によるドラフト/保留中のスラッグ漏洩が発生します。hermanhms による報告。
- メモを含むコメントは、viridis によって報告された、任意の認証されたユーザーによって親に変更される可能性があります。

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受ける wordpress パッケージを更新してください。

参考資料

https://bodhi.fedoraproject.org/updates/FEDORA-2026-5c9d8e41a9

プラグインの詳細

深刻度: High

ID: 362833

ファイル名: fedora_2026-5c9d8e41a9.nasl

バージョン: 1.2

タイプ: Local

エージェント: unix

ファミリー: Fedora Local Security Checks

公開日: 2026/10/3

更新日: 2026/10/5

サポートされているセンサー: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus