已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-8295 潜在的未经授权密码重置漏洞。更多信息请参阅：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 当有人尝试上传非常大的文件时，存在跨站脚本 (XSS) 漏洞。CVE-2017-9062 未正确处理 XML-RPC API 中的文章元数据值。CVE-2017-9063 定制器中的跨站脚本 (XSS) 漏洞。CVE-2017-9064 文件系统凭据对话框中存在一个跨站请求伪造 (CSRF) 漏洞。CVE-2017-9065 未对 XML-RPC API 中的文章元数据进行功能检查。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u15 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-8295 可能的未經授權密碼重設弱點。更多詳細資訊請參閱：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 有人嘗試上傳極大的檔案時，存在一個跨網站指令碼 (XSS) 弱點。CVE-2017-9062 在 XML-RPC API 中發表中繼資料值處理不當。CVE-2017-9063 自訂程式中存在跨網站指令碼 (XSS) 弱點。CVE-2017-9064 檔案系統認證對話方塊中存在跨網站要求偽造 (CSRF) 弱點。CVE-2017-9065 XML-RPC API 中缺少發表中繼資料的功能檢查。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u15 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In WordPress before 4.7.5, there is improper handling of post meta data values in the XML-RPC API.
    (CVE-2017-9062)

Note that Nessus relies on the presence of the package as reported by the vendor.

Several vulnerabilities were discovered in wordpress, a web blogging tool. They would allow remote attackers to force password resets, and perform various cross-site scripting and cross-site request forgery attacks.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.7.5より前の WordPress では、XML-RPC API で投稿メタデータ値が不適切に処理されています。
    (CVE-2017-9062)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Web ブログツールである wordpress で、複数の脆弱性が見つかりました。これにより、リモート攻撃者がパスワードのリセットを強制し、さまざまなクロスサイトスクリプティングおよびクロスサイトリクエスト偽造攻撃を実行する可能性があります。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 4.7.5之前的 WordPress 中XML-RPC API 中的張貼中繼資料值處理不當。
    (CVE-2017-9062)

請注意，Nessus 依賴供應商報告的套件存在。

在 web 部落格工具 wordpress 中發現數個弱點。遠端攻擊者可利用此弱點強制重設密碼，並執行各種跨網站指令碼和跨網站要求偽造攻擊。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.5之前版本的 WordPress 中未正确处理 XML-RPC API 中的帖子元数据值。
    (CVE-2017-9062)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞可允许远程攻击者强制重置密码，并执行各种跨站脚本和跨站请求伪造攻击。

Versions of WordPress prior to 4.7.5 are affected by multiple vulnerabilities :

 - A flaw exists that allows a DOM-based cross-site scripting (XSS) attack. This flaw exists exists because the 'uploadSizeError()' function in 'wp-includes/js/plupload/handlers.js' does not validate input to file names before returning it to users in error exists messages for overly large file uploads. This may allow a context-dependent attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9061)
 - A flaw exists in the 'set_custom_fields()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered as certain input is not properly validated when accessing post meta data. This may allow an authenticated, remote attacker to gain unauthorized access to meta data. (CVE-2017-9062)
 - A flaw exists that allows a stored XSS attack. This flaw exists exists because the 'wp-admin/customize.php' script does not validate input to the blog name before returning it to users. This may allow an authenticated, remote attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9063)
 - An unspecified flaw exists in the '_insert_post()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered when handling post meta data. This may allow an attacker to have an unspecified impact. (CVE-2017-9065)
 - An unspecified flaw exists in the 'WP_Http::request()' function in 'wp-includes/class-http.php'. This may allow an attacker to trigger a redirect to an unsafe URL. (CVE-2017-9066)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100602	Debian DLA-975-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
100602	Debian DLA-975-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
255000	Linux Distros Unpatched Vulnerability : CVE-2017-9062	Nessus	Misc.	2025/8/25	2025/8/25	high
100561	Debian DSA-3870-1 : wordpress - security update	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
255000	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9062	Nessus	Misc.	2025/8/25	2025/8/25	high
100561	Debian DSA-3870-1: wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
255000	Linux Distros 未修補的弱點：CVE-2017-9062	Nessus	Misc.	2025/8/25	2025/8/25	high
100561	Debian DSA-3870-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
255000	Linux Distros 未修补的漏洞：CVE-2017-9062	Nessus	Misc.	2025/8/25	2025/8/25	high
100561	Debian DSA-3870-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
700121	WordPress < 4.7.5 Multiple Vulnerabilities	Nessus Network Monitor	CGI	2017/5/23	2019/3/6	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high