**WordPress 4.2.4 セキュリティおよびメンテナンスリリース**

WordPress 4.2.4 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

このリリースは、 3 件のクロスサイトスクリプティングの脆弱性および、サイトの改ざんで使用できる SQL インジェクションを含め、 Sucuri の Marc-Alexandre Montpas、WordPress セキュリティチームの Helen Hou-Sandi、 Check Point の Netanel Rubin、Ivan Grigorov によって見つけられた 6 件の問題を解決します。また、Scrutinizer の Johannes Schmitt によって見つけられたタイミングサイドチャネル攻撃に対する修正も含み、 Mohamed A. Baset が見つけたように、攻撃者が編集中の投稿をロックすることを防ぎます。

セキュリティの問題を明らかにした人々に感謝の意を表します。

WordPress 4.2.4 は、4 つのバグも修正します。詳細情報については、リリースノートを参照するか、変更のリストで確認してください。

- リリースノート：
https://codex.wordpress.org/Version_4.2.4

- 変更リスト：
https://core.trac.wordpress.org/log/branches/4.2?rev=33573&stop_rev=33396

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

そのバージョン番号によると、リモートのWebサーバーで動作しているWordPressアプリケーションは 4.2.4 より前です。このため、複数の脆弱性の影響を受ける可能性があります：

  - SQLクエリで使用する前に「comment_ID」パラメーターへのユーザー指定の入力のサニタイズに失敗するため、post.phpスクリプトにSQLインジェクションの脆弱性が存在します。リモートの攻撃者がこれを悪用し、バックエンドデータベースに対してSQLクエリを注入し、データの漏洩や操作を実行する可能性があります。（CVE-2015-2213）

  - class-wp-customize-widgets.phpスクリプトには詳細不明な欠陥があり、これにより攻撃者がサイドチャネルタイミング攻撃を実行する可能性があります。これ以上の詳細情報はありません。（CVE-2015-5730）

  - default-widgets.phpスクリプトが、ユーザーに返す前にウィジェットタイトルへの入力を検証しないため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が細工されたリクエストを使用して、これを悪用し、ユーザーのブラウザセッションで任意のスクリプトを実行する可能性があります。
    （CVE-2015-5732）

  - nav-menu.jsスクリプトが、ユーザーに返す前にアクセシビリティヘルパータイトルへの入力を検証しないため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が細工されたリクエストを使用して、これを悪用し、ユーザーのブラウザセッションで任意のスクリプトを実行する可能性があります。
    （CVE-2015-5733）

  - theme.phpスクリプトが、ユーザーに返す前に入力を検証しないため、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が細工されたリクエストを使用して、これを悪用し、ユーザーのブラウザセッションで任意のスクリプトを実行する可能性があります。（CVE-2015-5734）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Gary Pendergast 氏は次のように報告しています。

WordPress 4.2.4 では、サイトを危険にさらすために利用される可能性がある、3 つのクロスサイトスクリプティングの脆弱性と潜在的な SQL インジェクションが修正されます。

**WordPress 4.2.4 セキュリティおよびメンテナンスリリース**

WordPress 4.2.4 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

このリリースは、 3 件のクロスサイトスクリプティングの脆弱性および、サイトの改ざんで使用できる SQL インジェクションを含め、 Sucuri の Marc-Alexandre Montpas、WordPress セキュリティチームの Helen Hou-Sandi、 Check Point の Netanel Rubin、Ivan Grigorov によって見つけられた 6 件の問題を解決します。また、Scrutinizer の Johannes Schmitt によって見つけられたタイミングサイドチャネル攻撃に対する修正も含み、 Mohamed A. Baset が見つけたように、攻撃者が編集中の投稿をロックすることを防ぎます。

セキュリティの問題を明らかにした人々に感謝の意を表します。

WordPress 4.2.4 は、4 つのバグも修正します。詳細情報については、リリースノートを参照するか、変更のリストで確認してください。

- リリースノート：
https://codex.wordpress.org/Version_4.2.4

- 変更リスト：
https://core.trac.wordpress.org/log/branches/4.2?rev=33573&stop_rev=33396

**WordPress 4.2.3 セキュリティおよびメンテナンスリリース**

WordPress 4.2.3 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

4.2.2 およびそれ以前のバージョンの WordPress は、クロスサイトスクリプティングの脆弱性の影響を受け、そのため貢献者または作者のロールのユーザーがサイトを改ざんできる可能性があります。これは、最初は Jon Cave によって報告され、Robert Chapin、WordPress の両方のセキュリティチームによって修正され、後に Jouko Pynnonen によって報告されました。

また、サブスクライバ権限を持つユーザーがクイックドラフトでドラフトを作成できるという問題も修正しました。Check Point Software Technologies 社の Netanel Rubin が報告しました。

セキュリティの問題を明らかにした人々に感謝の意を表します。

WordPress 4.2.3 には、4.2 からの 20 件のバグに対する修正も含まれています。詳細については、次を参照してください：

- リリースノート：
https://codex.wordpress.org/Version_4.2.3

- 変更リスト：
 https://core.trac.wordpress.org/log/branches/4.2?rev=3 3382&stop_rev=32430

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

人気があるブログエンジンの Wordpress で、いくつかの脆弱性が修正されています。

- CVE-2015-2213 SQL インジェクションにより、リモートの攻撃者がサイトを壊す可能性があります。

- CVE-2015-5622 HTML ショートコードタグフィルタ―のロバスト性が改良されました。解析がより厳密になり、これがインストールに影響する可能性があります。これは、DSA 3328-2 で戻す必要があるパッチの修正バージョンです。

- CVE-2015-5730 ウィジットでのタイミングサイドチャネル攻撃の可能性。

- CVE-2015-5731 攻撃者が、編集中の投稿をロックする可能性があります。

- CVE-2015-5732 ウィジットタイトルのクロスサイトスクリプティングにより、攻撃者が機密情報を盗む可能性があります。

- CVE-2015-5734 旧式のテーマプレビューで、破損しているリンクを修正します。

この問題は、Sucuri の Marc-Alexandre Montpas 氏、WordPress セキュリティチームの Helen Hou-Sandí 氏、Check Point の Netanel Rubin 氏、Ivan Grigorov 氏、Scrutinizer の Johannes Schmitt 氏および Mohamed A. Baset 氏により
発見されました。

人気があるブログエンジンの Wordpress で、いくつかの脆弱性が修正されています。

CVE-2015-2213

SQL インジェクションにより、リモートの攻撃者が、サイトを危険にさらす可能性がありました。

CVE-2015-5622

ショートコード HTML タグフィルターの堅牢性が改善されました。
解析がより厳密になり、これがインストールに影響する可能性があります。
これは、DSA 3328-2 で戻す必要があるパッチの修正バージョンです。

CVE-2015-5731

攻撃者が、編集中の投稿をロックする可能性があります。

CVE-2015-5732

ウィジェットタイトルでのクロスサイトスクリプティングにより、攻撃者が、機密情報を盗む可能性があります。

CVE-2015-5734

旧式のテーマプレビューで、破損している一部のリンクを修正します。

この問題は、Sucuri の Marc-Alexandre Montpas 氏、WordPress セキュリティチームの Helen Hou-Sand&iacute; 氏、Check Point の Netanel Rubin 氏、Ivan Grigorov 氏、Scrutinizer の Johannes Schmitt 氏、および Mohamed A. Baset 氏により発見されました。

wordpress パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Web ブログツールである Wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2015-2213 SQL インジェクションにより、リモートの攻撃者がサイトを壊す可能性があります。

- CVE-2015-5622 HTML ショートコードタグフィルタ―のロバスト性が改良されました。解析がより厳密になり、これがインストールに影響する可能性があります。

- CVE-2015-5714 ショートコードタグ処理中のクロスサイトスクリプティング脆弱性

- CVE-2015-5715 脆弱性が発見され、ユーザーは適切な権限なしにプライベートな投稿を公開し、これらの投稿を固定表示にすることができます。

- CVE-2015-5731 攻撃者が、編集中の投稿をロックする可能性があります。

- CVE-2015-5732 ウィジェットタイトルのクロスサイトスクリプティングにより、攻撃者が機密情報を盗む可能性があります。

- CVE-2015-5734 旧式のテーマプレビューで、破損しているリンクを修正します。

- CVE-2015-7989 ユーザーリストテーブルにおけるクロスサイトスクリプティングの脆弱性。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85317	Fedora 23 : wordpress-4.2.4-1.fc23 (2015-12750)	Nessus	Fedora Local Security Checks	2015/8/11	2021/1/11	high
85243	WordPress < 4.2.4の複数の脆弱性	Nessus	CGI abuses	2015/8/5	2024/6/5	high
85258	FreeBSD：wordpress -- 複数の脆弱性（ac5ec8e3-3c6c-11e5-b921-00a0986f28c4）	Nessus	FreeBSD Local Security Checks	2015/8/7	2021/1/6	high
85390	Fedora 22 : wordpress-4.2.4-1.fc22 (2015-12235)	Nessus	Fedora Local Security Checks	2015/8/14	2021/1/11	high
85355	Debian DSA-3332-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2015/8/13	2021/1/11	high
85546	Debian DLA-294-1：wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2015/8/20	2021/1/11	high
86666	Debian DSA-3383-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2015/10/30	2021/1/11	medium
85389	Fedora 21 : wordpress-4.2.4-1.fc21 (2015-12148)	Nessus	Fedora Local Security Checks	2015/8/14	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

medium

high