Debian DSA-2718-1：wordpress - 多个漏洞

medium Nessus 插件 ID 67131

语言：

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 Web 博客工具 WordPress 中发现了多个漏洞。由于 CVE 通过发布公告分配，并且通常不标识具体补丁，因此现已决定将 wordpress 程序包升级到最新上游版本，而不是向后移植这些修补程序。

这意味着升级时需要特别谨慎，尤其是使用第三方插件或主题时，因为在此期间可能影响了兼容性。建议用户在执行升级之前检查其安装。

- CVE-2013-2173 在 WordPress 检查受保护帖子的密码时执行哈希计算的方式中发现一个拒绝服务。提供精心构建的输入作为密码的攻击者可导致该平台使用过量 CPU。

- CVE-2013-2199 在 HTTP API 中发现多种服务器端请求伪造 (SSRF) 漏洞。此漏洞与 CVE-2013-0235 相关，特定于 pingback 请求中的 SSRF，已在 3.5.1 中得到修复。

- CVE-2013-2200 对用户功能的不充分检查可导致权限升级，从而使其能够在其用户角色不应获准时发布帖子并将帖子分配给其他作者。

- CVE-2013-2201 在媒体文件和插件上传表单中发现因不当转义的输入而造成的多种跨站脚本 (XSS) 漏洞。

- CVE-2013-2202 通过 oEmbed 响应造成的 XML 外部实体注入 (XXE) 漏洞。

- CVE-2013-2203 在文件上传机制中发现完整路径泄露 (FPD)。如果上传目录不可写，返回的错误消息会包含完整目录路径。

- CVE-2013-2204 通过嵌入式 tinyMCE 媒体插件中的 Flash 小程序造成的内容欺骗。

- CVE-2013-2205 嵌入式 SWFupload 上传程序中的跨域 XSS。