The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In WordPress before 4.7.5, a cross-site scripting (XSS) vulnerability exists when attempting to upload     very large files, because the error message does not properly restrict presentation of the filename.
    (CVE-2017-9061)

Note that Nessus relies on the presence of the package as reported by the vendor.

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-8295 可能的未經授權密碼重設弱點。更多詳細資訊請參閱：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 有人嘗試上傳極大的檔案時，存在一個跨網站指令碼 (XSS) 弱點。CVE-2017-9062 在 XML-RPC API 中發表中繼資料值處理不當。CVE-2017-9063 自訂程式中存在跨網站指令碼 (XSS) 弱點。CVE-2017-9064 檔案系統認證對話方塊中存在跨網站要求偽造 (CSRF) 弱點。CVE-2017-9065 XML-RPC API 中缺少發表中繼資料的功能檢查。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u15 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

在 web 部落格工具 wordpress 中發現數個弱點。遠端攻擊者可利用此弱點強制重設密碼，並執行各種跨網站指令碼和跨網站要求偽造攻擊。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞可允许远程攻击者强制重置密码，并执行各种跨站脚本和跨站请求伪造攻击。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.7.5。因而会受到多个漏洞的影响：- 由于未正确验证用户对文件名称提供的输入，便在错误消息中将其返回，在处理过大文件上载时，文件 wp-includes/js/plupload/handlers.js 的 uploadSizeError() 函数中存在基于 DOM 的跨站脚本 (XSS) 漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2017-9061) - 由于未正确验证用户提供的输入，在处理发帖元数据时，文件 wp-includes/class-wp-xmlrpc-server.php 的 set_custom_fields() 函数中存在缺陷。经过身份验证的远程攻击者可利用此问题，在未授权的情况下访问元数据。(CVE-2017-9062) - 由于未正确验证用户对博客名称提供的输入，便将其返回给用户，脚本文件 wp-admin/customize.php 中存在一个存储型跨站脚本 (XSS) 漏洞。经过验证的远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2017-9063) - 由于在执行某些敏感操作时无法要求多个步骤、明确确认或唯一标记，文件 /wp-admin/includes/file.php 的 request_filesystem_credentials() 函数中存在跨站请求伪造 (XSRF) 漏洞。未经身份验证的远程攻击者可利用此问题，通过诱使用户跟踪特制链接，泄露用户凭证。(CVE-2017-9064) - 由于缺少功能检查，在处理发帖元数据时，XML-RPC API 中存在缺陷，尤其是在文件 wp-includes/class-wp-xmlrpc-server.php 的 _insert_post() 函数中。未经身份验证的远程攻击者可利用此问题操纵发帖，无需具备所需功能。(CVE-2017-9065) - 由于未正确验证用户提供的输入，文件 wp-includes/class-http.php 的 WP_Http::request() 函数中存在缺陷。未经身份验证的远程攻击者可利用此问题，将用户重定向至攻击者选择的 URL。(CVE-2017-9066) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.5之前的 WordPress 中尝试上传非常大的文件时存在一个跨站脚本 (XSS) 漏洞因为错误消息未正确限制文件名的显示。
    (CVE-2017-9061)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 WordPress 應用程式版本比 4.7.5 舊。因此，會受到多個弱點影響：- 在處理過大檔案上傳時，檔案 wp-includes/js/plupload/handlers.js 內的 uploadSizeError() 函式中存在一個 DOM 型跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者對檔案名稱提供的輸入便在錯誤訊息中將其傳回所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。(CVE-2017-9061) - 在存取張貼中繼資料時，檔案 wp-includes/class-wp-xmlrpc-server.php 內的 set_custom_fields() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。經驗證的遠端攻擊者可加以惡意利用，取得中繼資料的未經授權存取權。(CVE-2017-9062) - 在指令碼檔案 wp-admin/customize.php 中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-9063) - 在檔案 /wp-admin/includes/file.php 內的 request_filesystem_credentials() 函式中存在一個跨網站要求偽造 (XSRF) 弱點，這是因為執行特定敏感動作時，無法要求多個步驟、明確確認或唯一的 token 所致。未經驗證的遠端攻擊者可加以惡意利用，藉由誘騙使用者造訪特製連結，藉此洩漏使用者認證。(CVE-2017-9064) - 在處理張貼中繼資料時，XML-RPC API 中存在一個缺陷，尤其是在檔案 wp-includes/class-wp-xmlrpc-server.php 的 _insert_post() 函式內，這是因為缺少功能檢查所致。未經驗證的遠端攻擊者可加以惡意利用，無須具備必要功能便可操控張貼。(CVE-2017-9065) - 檔案 wp-includes/class-http.php 內的 WP_Http::request() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，將使用者重新導向至攻擊者選擇的 URL。(CVE-2017-9066) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 WordPress 4.7.5之前的版本中當嘗試上傳非常大的檔案時存在一個跨網站指令碼 (XSS) 弱點這是因為錯誤訊息未正確限制檔案名稱的呈現。
    (CVE-2017-9061)

請注意，Nessus 依賴供應商報告的套件存在。

自己報告されたバージョン番号によると、リモートWebサーバーで実行されているWordPressアプリケーションは、4.7.5より前です。したがって、以下の複数の脆弱性による影響を受けます：- ユーザーがファイルに入力したデータが不適切に検証されてからエラーメッセージで返されるため、アップロード処理するファイルが大きすぎるとき、DOMベースのクロスサイトスクリプティング（XSS）の脆弱性がwp-includes/js/plupload/handlers.jsファイル内のuploadSizeError()関数にあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2017-9061）- ユーザー入力が不適切に検証されるため、投稿メタデータにアクセスするとき、wp-includes/class-wp-xmlrpc-server.phpファイル内のset_custom_fields()関数に欠陥があります。認証されたリモートの攻撃者がこれを悪用し、権限なくメタデータにアクセスする可能性があります。（CVE-2017-9062）- ユーザーがブログ名に入力したデータが不適切に検証されてからユーザーに返されるため、格納型クロスサイトスクリプティングの脆弱性がwp-admin/customize.phpファイルのスクリプトにあります。認証されたリモートの攻撃者がこれを悪用して、特別に細工されたリクエストを通じて、ユーザーのブラウザセッションで任意のスクリプトコードを実行できます。（CVE-2017-9063）- 注意を要する特定のアクションを実行するとき、複数の手順、明示的な確認、または一意のトークンを要求しないため、クロスサイトリクエスト偽造（XSRF）の脆弱性が/wp-admin/includes/file.phpファイル内のrequest_filesystem_credentials()関数にあります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工したリンクをたどるようにユーザーを誘導し、ユーザーの資格情報を漏えいさせる可能性があります。（CVE-2017-9064）- 機能チェックがないため、投稿メタデータを処理するとき、特にwp-includes/class-wp-xmlrpc-server.phpファイル内のXML-RPC APIに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、必要な権限なしで投稿を操作する可能性があります。（CVE-2017-9065）- ユーザーの入力が不適切に検証されるため、wp-includes/class-http.phpファイル内のWP_Http::request()関数に欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、攻撃者が選択したURLにユーザーをリダイレクトさせる可能性があります。（CVE-2017-9066）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.7.5より前の WordPress では、エラーメッセージがファイル名の表示を適切に制限しないため、非常に大きなファイルをアップロードしようとする際に、クロスサイトスクリプティングXSSの脆弱性が存在します。
    (CVE-2017-9061)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Versions of WordPress prior to 4.7.5 are affected by multiple vulnerabilities :

 - A flaw exists that allows a DOM-based cross-site scripting (XSS) attack. This flaw exists exists because the 'uploadSizeError()' function in 'wp-includes/js/plupload/handlers.js' does not validate input to file names before returning it to users in error exists messages for overly large file uploads. This may allow a context-dependent attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9061)
 - A flaw exists in the 'set_custom_fields()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered as certain input is not properly validated when accessing post meta data. This may allow an authenticated, remote attacker to gain unauthorized access to meta data. (CVE-2017-9062)
 - A flaw exists that allows a stored XSS attack. This flaw exists exists because the 'wp-admin/customize.php' script does not validate input to the blog name before returning it to users. This may allow an authenticated, remote attacker to create a specially crafted request that will execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server. (CVE-2017-9063)
 - An unspecified flaw exists in the '_insert_post()' function in 'wp-includes/class-wp-xmlrpc-server.php' that is triggered when handling post meta data. This may allow an attacker to have an unspecified impact. (CVE-2017-9065)
 - An unspecified flaw exists in the 'WP_Http::request()' function in 'wp-includes/class-http.php'. This may allow an attacker to trigger a redirect to an unsafe URL. (CVE-2017-9066)

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
254990	Linux Distros Unpatched Vulnerability : CVE-2017-9061	Nessus	Misc.	2025/8/25	2025/8/25	medium
100602	Debian DLA-975-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
100561	Debian DSA-3870-1：wordpress - 安全性更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
100561	Debian DSA-3870-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
100298	WordPress < 4.7.5 多个漏洞	Nessus	CGI abuses	2017/5/19	2025/5/14	high
254990	Linux Distros 未修补的漏洞：CVE-2017-9061	Nessus	Misc.	2025/8/25	2025/8/25	medium
100298	WordPress < 4.7.5 多個弱點	Nessus	CGI abuses	2017/5/19	2025/5/14	high
254990	Linux Distros 未修補的弱點：CVE-2017-9061	Nessus	Misc.	2025/8/25	2025/8/25	medium
100298	WordPress < 4.7.5の複数の脆弱性	Nessus	CGI abuses	2017/5/19	2025/5/14	high
254990	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9061	Nessus	Misc.	2025/8/25	2025/8/25	medium
700121	WordPress < 4.7.5 Multiple Vulnerabilities	Nessus Network Monitor	CGI	2017/5/23	2019/3/6	high

检测

插件搜索

medium

high

high

high

high

medium

high

medium

high

medium

high