人気があるブログエンジンの Wordpress で、いくつかの脆弱性が修正されています。

- CVE-2015-5714 ショートコードタグ処理中のクロスサイトスクリプティング脆弱性が発見されました。

この問題は、属性で閉じられていない HTML 要素を許可しないことで修正されました。

- CVE-2015-5715 脆弱性が発見され、ユーザーは適切な権限なしにプライベートな投稿を公開し、これらの投稿を固定表示にすることができます。

この問題は、プライベート投稿の固定を許可しないことで、Wordpress の XMLRPC コードで修正されました。

- CVE-2015-7989 ユーザーリストテーブルのクロスサイトスクリプティングの脆弱性が発見されました。

この問題は、ユーザーリストのメールアドレスを URL エスケープすることで修正されました。

**WordPress 4.3.1 セキュリティおよびメンテナンス用リリース** [Upstream のお知らせ]（https://wordpress.org/news/2015/09/wordpress-4-3-1/）：
WordPress 4.3.1 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。このリリースでは、2 つのクロスサイトスクリプティングの脆弱性および権限昇格の可能性を含む、3 つの問題に対処しています。* WordPress バージョン 4.3 およびそれ以前は、ショートコードタグを処理する際にクロスサイトスクリプティングの脆弱性に対して脆弱となっています（CVE-2015-5714）。チェックポイントの Shahar Tal 氏および Netanel Rubin 氏による報告。* 別のクロスサイトスクリプティングの脆弱性が、ユーザーリストテーブルに見つかりました。WordPress セキュリティチームの Ben Bider 氏による報告。* 最後に、特定の状況下において、適切な権限を持たないユーザーはプライベートの投稿を公開することや、これらを付箋することがあります（CVE-2015-5715）。
チェックポイントの Shahar Tal 氏および Netanel Rubin 氏による報告。WordPress 4.3.1 は、26 のバグも修正しています。詳細情報については以下の URL を参照してください。 [リリースノート]（https://codex.wordpress.org/Version_4.3.1）。または次の URL を参照してください。 [変更リスト]（https://core.trac.wordpress.org/log/branches/4.3/?rev=34199&s t op_rev=33647）。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Web ブログツールである Wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-2213 SQL インジェクションにより、リモートの攻撃者がサイトを壊す可能性があります。

- CVE-2015-5622 HTML ショートコードタグフィルタ―のロバスト性が改良されました。解析がより厳密になり、これがインストールに影響する可能性があります。

- CVE-2015-5714 ショートコードタグ処理中のクロスサイトスクリプティング脆弱性

- CVE-2015-5715 脆弱性が発見され、ユーザーは適切な権限なしにプライベートな投稿を公開し、これらの投稿を固定表示にすることができます。

- CVE-2015-5731 攻撃者が、編集中の投稿をロックする可能性があります。

- CVE-2015-5732 ウィジェットタイトルのクロスサイトスクリプティングにより、攻撃者が機密情報を盗む可能性があります。

- CVE-2015-5734 旧式のテーマプレビューで、破損しているリンクを修正します。

- CVE-2015-7989 ユーザーリストテーブルにおけるクロスサイトスクリプティングの脆弱性。

Samuel Sidler が以下のように報告しています。

WordPress 4.3.1 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

- WordPress バージョン 4.3 以前のものは、ショートコードタグを処理する際にクロスサイトスクリプティングの脆弱性に対して脆弱です（CVE-2015-5714）。チェックポイントの Shahar Tal 氏および Netanel Rubin 氏による報告。

- 別のクロスサイトスクリプティングの脆弱性が、ユーザーリストテーブルに見つかりました。WordPress セキュリティチームの Ben Bider 氏による報告。

- 最終的に、特定の状況下において、適切な権限を持たないユーザーがプライベートの投稿を公開したり、これらを付箋したりする可能性があります（CVE-2015-5715）。チェックポイントの Shahar Tal 氏および Netanel Rubin 氏による報告。

そのバージョン番号によると、リモートの Web サーバーで動作している WordPress アプリケーションは 4.3.1 より前です。このため、複数の脆弱性の影響を受ける可能性があります：

- ユーザー入力の不適切な検証のため、ショートコードタグの処理時にクロスサイトスクリプティングの脆弱性が存在します。攻撃者はこれを悪用して、特別に細工されたリクエストから、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。(CVE-2015-5714)

- 認証された攻撃者がプライベートな投稿を公開し、それを「固定」することを可能にする、詳細不明の脆弱性が存在します。(CVE-2015-5715)

- 詳細不明のクロスサイトスクリプティングの脆弱性が、ユーザーリストテーブルに存在します。攻撃者はこれを悪用して、特別に細工されたリクエストから、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

Wordpress コンテンツ管理システムの Debian LTS（squeeze）バージョンでは、様々なセキュリティ問題が修正されています。

CVE-2015-5714

ショートコードタグ処理中のクロスサイトスクリプティングの脆弱性が発見されました。

この問題は、属性で閉じられていない HTML 要素を許可しないことで修正されました。

CVE-2015-5715

ユーザーが適切な権限なしにプライベートな投稿を公開し、これらの投稿を固定表示にできる脆弱性が発見されました。

この問題は、プライベート投稿の固定を許可しないことで、Wordpress の XMLRPC コードで修正されました。

その他の問題

ユーザーリストテーブルにクロスサイトスクリプティングの脆弱性が発見されました。

この問題は、ユーザーリストのメールアドレスを URL エスケープすることで修正されました。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
86448	Debian DSA-3375-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2015/10/20	2021/1/11	medium
86164	Fedora 22 : wordpress-4.3.1-1.fc22 (2015-15981)	Nessus	Fedora Local Security Checks	2015/9/28	2021/1/11	medium
86666	Debian DSA-3383-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2015/10/30	2021/1/11	medium
85957	FreeBSD : wordpress -- 複数の脆弱性（f4ce64c2-5bd4-11e5-9040-3c970e169bc2）	Nessus	FreeBSD Local Security Checks	2015/9/16	2021/1/6	medium
86165	Fedora 21 : wordpress-4.3.1-1.fc21 (2015-15982)	Nessus	Fedora Local Security Checks	2015/9/28	2021/1/11	medium
85985	WordPress < 4.3.1 の複数の脆弱性	Nessus	CGI abuses	2015/9/17	2024/6/6	medium
86166	Fedora 23 : wordpress-4.3.1-1.fc23 (2015-15983)	Nessus	Fedora Local Security Checks	2015/9/28	2021/1/11	medium
86213	Debian DLA-321-1：wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2015/10/1	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium