**WordPress 4.5.2** が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

[リリースのお知らせ]（https://wordpress.org/news/2016/05/wordpress-4-5-2/）を参照してください

---

**　パッケージの変更　**

- nginx 構成を提供します

- httpd（提案のみ）および mod_php（php-fpm が機能）の必須の依存関係をドロップします

- アップロードディレクトリの php ファイルを保護します

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

**WordPress 4.5.2** が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

[リリースのお知らせ]（https://wordpress.org/news/2016/05/wordpress-4-5-2/）を参照してください

----

12 個のバグを修正する WordPress バージョン 4.5.1 が利用可能です。

[リリースのお知らせ]（https://wordpress.org/news/2016/04/wordpress-4-5-1-maintenance-release/）を参照してください

注意：Tenable Network Security は、前述の説明ブロックを Fedora 更新システム Web サイトから直接抽出しています。
Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.1.9より前の WordPress で使用されている 4.5.2より前の Plupload の plupload.flash.swf におけるクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が、同一生成元メソッド実行SOME攻撃を介して任意の Web スクリプトまたは HTML を注入する可能性があります。 。CVE-2016-4566

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Helen Hou-Sandi 氏による報告：

WordPress 4.5.2 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

WordPress バージョン 4.5.1 以前は、Plupload を通じて SOME の脆弱性の影響を受けます。Plupload は、WordPress がファイルのアップロードに使用するサードパーティのライブラリです。WordPress バージョン 4.2 から 4.5.1 は、MediaElement.js を通じて特別に細工された　URL を使用する折り返し型 XSS に脆弱です。MediaElement.js は、Media Player に使用されるサードパーティのライブラリです。
MediaElement.js と Plupload は、これらの問題を修正する更新もリリースしました。

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている WordPress アプリケーションは、4.5.2 より前のものです。
したがって、次の脆弱性の影響を受けます: 

  - コマンドを委任するために渡されるファイル名で、シェル文字を適切にフィルターすることに失敗するため、ImageMagick ライブラリに、ImageTragick として知られているリモートコードの実行の脆弱性が存在します。リモートの攻撃者はこれを悪用して、特別に細工された画像を通じて、シェルコマンドを注入する可能性や、任意のコードを実行する可能性があります。
    (CVE-2016-3714)

  - ImageMagick ライブラリに「ephemeral」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が任意のファイルを削除する可能性があります。(CVE-2016-3715)

  - ImageMagick ライブラリに「ms」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が任意のファイルを任意の場所に移動する可能性があります。(CVE-2016-3716)

  - ImageMagick ライブラリに「label」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が特別に細工された画像を通じて、任意のファイルを読み取る可能性があります。
    (CVE-2016-3717)

  - ユーザーとサーバー間のリクエスト処理に関連する詳細不明な欠陥があるため、サーバーサイドのリクエスト偽装（SSRF）の脆弱性が存在します。リモートの攻撃者はこれを悪用して、特別に細工された充填要素がある MVG ファイルを通じて、アクセス制限をバイパスする可能性や、ホストベースの攻撃を仕掛ける可能性があります。
    (CVE-2016-3718)

  - Plupload に詳細不明な欠陥が存在するため、攻撃者が同一生成元メソッドを実行する可能性があります。
    (CVE-2016-4566)

  - ユーザー指定の入力を不適切に検証しているため、MediaElement.js に、折り返し型クロスサイトスクリプティングの脆弱性が存在します。コンテキスト依存の攻撃者はこれを悪用して、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2016-4567）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
92180	Fedora 24：wordpress（2016-d9bd0c4830）	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
92166	Fedora 23：wordpress（2016-cf91320535）	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
92193	Fedora 22：wordpress（2016-e97a850183）	Nessus	Fedora Local Security Checks	2016/7/14	2026/2/2	medium
254621	Linux Distros のパッチ未適用の脆弱性: CVE-2016-4566	Nessus	Misc.	2025/8/25	2025/8/25	medium
91027	FreeBSD：wordpress -- 複数の脆弱性（3686917b-164d-11e6-94fa-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	4.5.2 より前の WordPress の複数の脆弱性（ImageTragick）	Nessus	CGI abuses	2016/5/12	2025/5/14	high

検出

プラグインの検索

medium

medium

medium

medium

medium

high