According to its self-reported version number, the detected WordPress application is affected by multiple vulnerabilities :

 - wp-admin/user-new.php sets the newbloguser key to a string that can be directly derived from the user ID, which allows remote attackers to bypass intended access restrictions by entering this string.

 - wp-includes/functions.php does not require the unfiltered_html capability for upload of .js files, which might allow remote attackers to conduct XSS attacks via a crafted file.

 - wp-includes/general-template.php does not properly restrict the lang attribute of an HTML element, which might allow attackers to conduct XSS attacks via the language setting of a site.

 - wp-includes/feed.php does not properly restrict enclosures in RSS and Atom fields, which might allow attackers to conduct XSS attacks via a crafted URL.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告によるバージョン番号によると、検出された WordPress アプリケーションは、次の複数の脆弱性の影響を受けます。

 - wp-admin/user-new.php が、newbloguser キーをユーザー ID から直接派生できる文字列に設定するため、リモート攻撃者がこの文字列を入力することで、意図されたアクセス制限をバイパスする可能性があります。

 - wp-includes/functions.php は、.js ファイルのアップロードに unfiltered_html 機能を必要としません。これにより、リモート攻撃者が、細工されたファイルを介して XSS 攻撃を実行する可能性があります。

 - wp-includes/general-template.php が、HTML 要素の lang 属性を適切に制限しないために、攻撃者がサイトの言語設定を介して XSS 攻撃を行う可能性があります。

 - wp-includes/feed.php が RSS および Atom フィールドのエンクロージャを適切に制限しないため、細工された URL を介して攻撃者が XSS 攻撃を実行する可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Web ブログツールである wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています。

CVE-2017-17091

WordPressのwp-admin/user-new.phpが、newbloguserキーをユーザーIDから直接派生できる文字列に設定するため、リモートの攻撃者がこの文字列を入力することで、意図されたアクセス制限をバイパスする可能性があります。

CVE-2017-17092

WordPressのwp-includes/functions.phpは、.jsファイルのアップロードにunfiltered_html機能を必要としません。これにより、リモートの攻撃者が、細工されたファイルを介してXSS攻撃を実行する可能性があります。

CVE-2017-17093

WordPressのwp-includes/general-template.phpが、HTML要素のlang属性を適切に制限しないために、攻撃者がサイトの言語設定を介してXSS攻撃を行う可能性があります。

CVE-2017-17094

WordPressのwp-includes/feed.phpがRSSおよびAtomフィールドのエンクロージャを適切に制限しないため、細工されたURLを介して攻撃者がXSS攻撃を実行する可能性があります。

Debian 7「Wheezy」では、これらの問題は、バージョン3.6.1+dfsg-1~deb7u20で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

WebブログツールであるWordpressで、複数の脆弱性が発見されました。これらの脆弱性により、リモート攻撃者がSQLインジェクション、さまざまなクロスサイトスクリプティング（XSS）攻撃、サーバーサイドリクエストフォージェリ（SSRF）攻撃を実行し、一部のアクセス制限をバイパスする可能性があります。

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている WordPress アプリケーションは、4.9.1 より前のものです。
したがって、複数の脆弱性の影響を受けます。

在 Web 部落格工具 Wordpress 中發現數個弱點。遠端攻擊者可藉這些弱點執行 SQL 注入攻擊和各種跨網站指令碼 (XSS) 與伺服器端要求偽造 (SSRF) 攻擊，以及繞過部分存取限制。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-17091 WordPress 中的 wp-admin/user-new.php 將 newbloguser 金鑰設定為可直接衍生自使用者 ID 的字串，遠端攻擊者可透過輸入此字串繞過預定的存取限制。CVE-2017-17092 WordPress 中的 wp-includes/functions.php 未規定上傳 .js 檔案的 unfiltered_html 功能權限，遠端攻擊者可藉此透過特製檔案發動 XSS 攻擊。CVE-2017-17093 WordPress 中的 wp-includes/general-template.php 未正確限制 HTML 元素的 lang 屬性，攻擊者有可能藉此透過網站的語言設定來發動 XSS 攻擊。CVE-2017-17094 WordPress 中的 wp-includes/feed.php 未正確限制 RSS 的內容和 Atom 欄位，攻擊者可藉此透過特製 URL 發動 XSS 攻擊。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u20 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.9.1 舊。
因此，會受到多個弱點影響。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞允许远程攻击者执行 SQL 注入以及各种跨站脚本 (XSS) 和服务器端请求伪造 (SSRF) 攻击，并绕过某些访问限制。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-17091 WordPress 中的 wp-admin/user-new.php 将 newbloguser 密钥设置为可直接从用户 ID 派生的字符串，从而允许远程攻击者通过输入此字符串来绕过预期的访问限制。CVE-2017-17092 WordPress 中的 wp-includes/functions.php 未要求使用 unfiltered_html 功能上传 .js 文件，可能允许远程攻击者通过特制的文件进行 XSS 攻击。CVE-2017-17093 WordPress 中的 wp-includes/general-template.php 未正确限制 HTML 元素的 lang 属性，可能允许攻击者通过网站的语言设置进行 XSS 攻击。CVE-2017-17094 WordPress 中的 wp-includes/feed.php 未正确限制 RSS 和 Stom 字段中的内容，可能允许攻击者通过特制的 URL 进行 XSS 攻击。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u20 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.9.1。
因此，该应用程序受到多个漏洞的影响。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98330	WordPress 3.7.x < 3.7.24 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98319	WordPress 4.8.x< 4.8.4 の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98322	WordPress 4.5.x< 4.5.12 の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98328	WordPress 3.9.x< 3.9.22 の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98330	WordPress 3.7.x< 3.7.24 の複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
105423	Debian DLA-1216-1: wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
106109	DebianDSA-4090-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
105004	WordPress < 4.9.1の複数の脆弱性	Nessus	CGI abuses	2017/12/4	2024/6/5	high
106109	Debian DSA-4090-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
105423	Debian DLA-1216-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
105004	WordPress < 4.9.1 多個弱點	Nessus	CGI abuses	2017/12/4	2024/6/5	high
106109	Debian DSA-4090-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
105423	Debian DLA-1216-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
105004	WordPress < 4.9.1 多个漏洞	Nessus	CGI abuses	2017/12/4	2024/6/5	high

検出

プラグインの検索

high

high

high

high

high

high

critical

high

critical

high

high

critical

high

high