Mandriva Linux 安全公告：wordpress (MDVSA-2013:189)

medium Nessus 插件 ID 67134

语言：

简介

远程 Mandriva Linux 主机缺少安全更新。

描述

更新后的 wordpress 程序包修复了安全漏洞：

为受密码保护的博文检查密码时，在 Wordpress（一款博客工具和发布平台）执行哈希计算的方式中发现拒绝服务缺陷。远程攻击者可提供特别构建的输入，当 Wordpress 的密码检查机制处理该输入时，会导致消耗过多 CPU (CVE-2013-2173)。

对用户可提供 URL 的 HTTP 请求的 SSRF 保护不足可允许攻击 Intranet 和其他网站。这是与 CVE-2013-0235 相关的工作的延续，后者特定于 pingback 请求中的 SSRF，已在 3.5.1 中得到修复 (CVE-2013-2199)。

对用户功能的不充分检查可允许用户在其用户角色不应获准时发布帖子，并将帖子分配给其他作者 (CVE-2013-2200)。

转义不足允许管理员通过上传媒体文件和插件触发跨站脚本漏洞 (CVE-2013-2201)。

对 oEmbed 响应的处理容易受到 XXE 的影响 (CVE-2013-2202)。

如果上传目录不可写，通过 XHR 返回的错误消息数据将包含该目录的完整路径 (CVE-2013-2203)。

MoxieCode (TinyMCE) MoxiePlayer 项目中的内容欺骗 (CVE-2013-2204)。

SWFUpload 中的跨域 XSS (CVE-2013-2205)。