複数のセキュリティ問題が、Web ブログツールの WordPress で見つかっています。これにより、サービス拒否または情報漏洩が発生します。詳細については、次の Upstream アドバイザリを参照してください：https://wordpress.org/news/2014/08/wordpress-3-9-2/

そのバージョン番号によると、リモートWeb サーバーにホストされている WordPress アプリケーションは、複数の脆弱性の影響を受けます：

- 「getid3.lib.php」に、パーサーが信頼できないソースからの XML 外部エンティティを受け入れることによる、XML インジェクションの欠陥が存在します。特別に細工された XML データを使用して、リモートの攻撃者が、機密情報にアクセスしたり、サービス拒否を引き起こしたりする可能性があります。これは、3.7.4 と 3.8.4 を除く 3.6 ～ 3.9.1 のバージョンに影響を与えます。

- パーサーが XML 内部エンティティを適切に検証せずに受け入れることによる、XML インジェクションの欠陥が「xmlrpc.php」に存在します。特別に細工された XML を使用して、リモートの攻撃者が、サービス拒否を引き起こす可能性があります。
 これは、3.7.4 と 3.8.4 を除く 1.5 ～ 3.9.1 のバージョンに影響を与えます。

- ウィジットを処理する際に、スクリプト「/src/wp-includes/class-wp-customize-widgets.php」に安全でないシリアル化の欠陥が存在しています。これにより、リモートの攻撃者は、任意のコードを実行する可能性があります。バージョン 3.9 および 3.9.1 非デフォルト構成が影響を受けています。

- デリミタで個々に分離しておらず、時定数で nonce を比較していないため、CSRF トークンの構築を行う際に欠陥が存在しています。これにより、リモートの攻撃者がブルートフォース攻撃を仕掛けることや、CSRF トークンを漏洩する可能性があります。これは、3.7.4 と 3.8.4 を除く 2.0.3 ～ 3.9.1 のバージョンに影響を与えます。

- アバターからの入力がユーザー戻される前に検証されない、「/src/wp-includes/pluggable.php」内のスクリプトの「get_avatar」関数に、クロスサイトスクリプティングの欠陥が存在しています。特別に細工されたリクエストを使用して、認証された攻撃者が、ブラウザ/サーバー信頼関係内で任意のスクリプトコードを実行する可能性があります。これは、バージョン 3.9.1 に影響を与えます。

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

Upstream のお知らせ：
http://wordpress.org/news/2014/08/wordpress-3-9-2/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

複数のセキュリティ問題が、Web ブログツールの WordPress で見つかっています。これにより、サービス拒否または情報漏洩が発生します。

詳細については、次の upstream アドバイザリを参照してください：https://wordpress.org/news/2014/08/wordpress-3-9-2/

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
77102	Debian DSA-3001-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2014/8/10	2021/1/11	high
77157	WordPress < 3.7.4 / 3.8.4 / 3.9.2 複数の脆弱性	Nessus	CGI abuses	2014/8/12	2021/1/19	high
77312	Fedora 20 : wordpress-3.9.2-3.fc20 (2014-9264)	Nessus	Fedora Local Security Checks	2014/8/22	2021/1/11	high
77347	Fedora 19 : wordpress-3.9.2-3.fc19 (2014-9270)	Nessus	Fedora Local Security Checks	2014/8/23	2021/1/11	high
82202	Debian DLA-56-1：wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high