According to its self-reported version number, the detected WordPress application is affected by multiple vulnerabilities :

 - wp-admin/user-new.php sets the newbloguser key to a string that can be directly derived from the user ID, which allows remote attackers to bypass intended access restrictions by entering this string.

 - wp-includes/functions.php does not require the unfiltered_html capability for upload of .js files, which might allow remote attackers to conduct XSS attacks via a crafted file.

 - wp-includes/general-template.php does not properly restrict the lang attribute of an HTML element, which might allow attackers to conduct XSS attacks via the language setting of a site.

 - wp-includes/feed.php does not properly restrict enclosures in RSS and Atom fields, which might allow attackers to conduct XSS attacks via a crafted URL.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

Web ブログツールである wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています。

CVE-2017-17091

WordPressのwp-admin/user-new.phpが、newbloguserキーをユーザーIDから直接派生できる文字列に設定するため、リモートの攻撃者がこの文字列を入力することで、意図されたアクセス制限をバイパスする可能性があります。

CVE-2017-17092

WordPressのwp-includes/functions.phpは、.jsファイルのアップロードにunfiltered_html機能を必要としません。これにより、リモートの攻撃者が、細工されたファイルを介してXSS攻撃を実行する可能性があります。

CVE-2017-17093

WordPressのwp-includes/general-template.phpが、HTML要素のlang属性を適切に制限しないために、攻撃者がサイトの言語設定を介してXSS攻撃を行う可能性があります。

CVE-2017-17094

WordPressのwp-includes/feed.phpがRSSおよびAtomフィールドのエンクロージャを適切に制限しないため、細工されたURLを介して攻撃者がXSS攻撃を実行する可能性があります。

Debian 7「Wheezy」では、これらの問題は、バージョン3.6.1+dfsg-1~deb7u20で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-17091 WordPress 中的 wp-admin/user-new.php 將 newbloguser 金鑰設定為可直接衍生自使用者 ID 的字串，遠端攻擊者可透過輸入此字串繞過預定的存取限制。CVE-2017-17092 WordPress 中的 wp-includes/functions.php 未規定上傳 .js 檔案的 unfiltered_html 功能權限，遠端攻擊者可藉此透過特製檔案發動 XSS 攻擊。CVE-2017-17093 WordPress 中的 wp-includes/general-template.php 未正確限制 HTML 元素的 lang 屬性，攻擊者有可能藉此透過網站的語言設定來發動 XSS 攻擊。CVE-2017-17094 WordPress 中的 wp-includes/feed.php 未正確限制 RSS 的內容和 Atom 欄位，攻擊者可藉此透過特製 URL 發動 XSS 攻擊。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u20 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 Web 部落格工具 Wordpress 中發現數個弱點。遠端攻擊者可藉這些弱點執行 SQL 注入攻擊和各種跨網站指令碼 (XSS) 與伺服器端要求偽造 (SSRF) 攻擊，以及繞過部分存取限制。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-17091 WordPress 中的 wp-admin/user-new.php 将 newbloguser 密钥设置为可直接从用户 ID 派生的字符串，从而允许远程攻击者通过输入此字符串来绕过预期的访问限制。CVE-2017-17092 WordPress 中的 wp-includes/functions.php 未要求使用 unfiltered_html 功能上传 .js 文件，可能允许远程攻击者通过特制的文件进行 XSS 攻击。CVE-2017-17093 WordPress 中的 wp-includes/general-template.php 未正确限制 HTML 元素的 lang 属性，可能允许攻击者通过网站的语言设置进行 XSS 攻击。CVE-2017-17094 WordPress 中的 wp-includes/feed.php 未正确限制 RSS 和 Stom 字段中的内容，可能允许攻击者通过特制的 URL 进行 XSS 攻击。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u20 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞允许远程攻击者执行 SQL 注入以及各种跨站脚本 (XSS) 和服务器端请求伪造 (SSRF) 攻击，并绕过某些访问限制。

WebブログツールであるWordpressで、複数の脆弱性が発見されました。これらの脆弱性により、リモート攻撃者がSQLインジェクション、さまざまなクロスサイトスクリプティング（XSS）攻撃、サーバーサイドリクエストフォージェリ（SSRF）攻撃を実行し、一部のアクセス制限をバイパスする可能性があります。

According to its self-reported version number, the WordPress application running on the remote web server is prior to 4.9.1.
It is, therefore, affected by multiple vulnerabilities.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - wp-includes/functions.php in WordPress before 4.9.1 does not require the unfiltered_html capability for     upload of .js files, which might allow remote attackers to conduct XSS attacks via a crafted file.
    (CVE-2017-17092)

Note that Nessus relies on the presence of the package as reported by the vendor.

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている WordPress アプリケーションは、4.9.1 より前のものです。
したがって、複数の脆弱性の影響を受けます。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.9.1 以前の WordPress の wp-includes/functions.php が、.js ファイルのアップロードに unfiltered_html 機能を必要としないために、リモートの攻撃者が細工されたファイルを介して XSS 攻撃を実行する可能性があります。
    (CVE-2017-17092)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.9.1 舊。
因此，會受到多個弱點影響。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 4.9.1 之前的 WordPress 中的 wp-includes/functions.php 不需要 unfiltered_html 功能即可上傳 .js 檔案這可能會讓遠端攻擊者透過特製的檔案發動 XSS 攻擊。
    (CVE-2017-17092)

請注意，Nessus 依賴供應商報告的套件存在。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.9.1。
因此，该应用程序受到多个漏洞的影响。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 4.9.1 之前的 WordPress 中的 wp-includes/functions.php 不要求使用 unfiltered_html 功能上传 .js 文件可能允许远程攻击者通过构建的文件进行 XSS 攻击。
    (CVE-2017-17092)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
98319	WordPress 4.8.x < 4.8.4 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98322	WordPress 4.5.x < 4.5.12 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98328	WordPress 3.9.x < 3.9.22 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
98330	WordPress 3.7.x < 3.7.24 Multiple Vulnerabilities	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	high
105423	Debian DLA-1216-1: wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
105423	Debian DLA-1216-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
106109	Debian DSA-4090-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
105423	Debian DLA-1216-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/12/26	2021/1/11	high
106109	Debian DSA-4090-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
106109	DebianDSA-4090-1：wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2018/1/18	2018/11/13	critical
105004	WordPress < 4.9.1 Multiple Vulnerabilities	Nessus	CGI abuses	2017/12/4	2025/5/14	high
257715	Linux Distros Unpatched Vulnerability : CVE-2017-17092	Nessus	Misc.	2025/8/27	2025/8/27	medium
105004	WordPress < 4.9.1の複数の脆弱性	Nessus	CGI abuses	2017/12/4	2025/5/14	high
257715	Linux Distros のパッチ未適用の脆弱性: CVE-2017-17092	Nessus	Misc.	2025/8/27	2025/8/27	medium
105004	WordPress < 4.9.1 多個弱點	Nessus	CGI abuses	2017/12/4	2025/5/14	high
257715	Linux Distros 未修補的弱點：CVE-2017-17092	Nessus	Misc.	2025/8/27	2025/8/27	medium
105004	WordPress < 4.9.1 多个漏洞	Nessus	CGI abuses	2017/12/4	2025/5/14	high
257715	Linux Distros 未修补的漏洞：CVE-2017-17092	Nessus	Misc.	2025/8/27	2025/8/27	medium

检测

插件搜索

high

high

high

high

high

high

critical

high

critical

critical

high

medium

high

medium

high

medium

high

medium