已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。这些漏洞可允许远程攻击者强制重置密码，并执行各种跨站脚本和跨站请求伪造攻击。

Several vulnerabilities were discovered in wordpress, a web blogging tool. The Common Vulnerabilities and Exposures project identifies the following issues.

CVE-2017-8295

Potential unauthorized password reset vulnerability. More information are available at :

https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset
-0day-CVE-2017-8295.html

CVE-2017-9061

A cross-site scripting (XSS) vulnerability exists when someone attempts to upload very large files.

CVE-2017-9062

Improper handling of post meta data values in the XML-RPC API.

CVE-2017-9063

Cross-site scripting (XSS) vulnerability in the customizer.

CVE-2017-9064

A Cross Site Request Forgery (CSRF) vulnerability exists in the filesystem credentials dialog.

CVE-2017-9065

Lack of capability checks for post meta data in the XML-RPC API.

For Debian 7 'Wheezy', these problems have been fixed in version 3.6.1+dfsg-1~deb7u15.

We recommend that you upgrade your wordpress packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - In WordPress before 4.7.5, a Cross Site Request Forgery (CSRF) vulnerability exists in the filesystem     credentials dialog because a nonce is not required for updating credentials. (CVE-2017-9064)

Note that Nessus relies on the presence of the package as reported by the vendor.

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 WordPress 應用程式版本比 4.7.5 舊。因此，會受到多個弱點影響：- 在處理過大檔案上傳時，檔案 wp-includes/js/plupload/handlers.js 內的 uploadSizeError() 函式中存在一個 DOM 型跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者對檔案名稱提供的輸入便在錯誤訊息中將其傳回所致。未經驗證的遠端攻擊者可利用此弱點，使用特製的要求，在使用者的瀏覽器工作階段內，執行任意指令碼。(CVE-2017-9061) - 在存取張貼中繼資料時，檔案 wp-includes/class-wp-xmlrpc-server.php 內的 set_custom_fields() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。經驗證的遠端攻擊者可加以惡意利用，取得中繼資料的未經授權存取權。(CVE-2017-9062) - 在指令碼檔案 wp-admin/customize.php 中存在一個已儲存跨網站指令碼 (XSS) 弱點，這是因為未正確驗證使用者提供的輸入，便將其傳回給使用者所致。經驗證的遠端攻擊者可趁機透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2017-9063) - 在檔案 /wp-admin/includes/file.php 內的 request_filesystem_credentials() 函式中存在一個跨網站要求偽造 (XSRF) 弱點，這是因為執行特定敏感動作時，無法要求多個步驟、明確確認或唯一的 token 所致。未經驗證的遠端攻擊者可加以惡意利用，藉由誘騙使用者造訪特製連結，藉此洩漏使用者認證。(CVE-2017-9064) - 在處理張貼中繼資料時，XML-RPC API 中存在一個缺陷，尤其是在檔案 wp-includes/class-wp-xmlrpc-server.php 的 _insert_post() 函式內，這是因為缺少功能檢查所致。未經驗證的遠端攻擊者可加以惡意利用，無須具備必要功能便可操控張貼。(CVE-2017-9065) - 檔案 wp-includes/class-http.php 內的 WP_Http::request() 函式中存在一個缺陷，這是因為不當驗證使用者提供的輸入所致。未經驗證的遠端攻擊者可加以惡意利用，將使用者重新導向至攻擊者選擇的 URL。(CVE-2017-9066) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

Web ブログツールである wordpress で、複数の脆弱性が見つかりました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています。

CVE-2017-8295

権限のないパスワードリセットの脆弱性の可能性。詳細については次を参照してください:

https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset
-0day-CVE-2017-8295.html

CVE-2017-9061

非常に大きなファイルをアップロードしようとするとき、クロスサイトスクリプティング（XSS）の脆弱性があります。

CVE-2017-9062

XML-RPC APIのポストメタデータ値の不適切な処理。

CVE-2017-9063

カスタマイザーのクロスサイトスクリプティング（XSS）の脆弱性。

CVE-2017-9064

ファイルシステムの認証情報ダイアログに、クロスサイトリクエスト偽造（CSRF）の脆弱性が存在します。

CVE-2017-9065

XML-RPC APIのポストメタデータに対する機能チェックの欠如。

Debian 7「Wheezy」では、これらの問題は、バージョン3.6.1+dfsg-1~deb7u15で修正されました。

お使いのwordpressパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.7.5より前の WordPress では、認証情報の更新に nonce が必要ないため、ファイルシステム認証情報ダイアログにクロスサイトリクエスト偽造CSRFの脆弱性が存在します。CVE-2017-9064

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

在 web 部落格工具 wordpress 中發現數個弱點。Common Vulnerabilities and Exposures 專案發現下列問題。CVE-2017-8295 可能的未經授權密碼重設弱點。更多詳細資訊請參閱：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 有人嘗試上傳極大的檔案時，存在一個跨網站指令碼 (XSS) 弱點。CVE-2017-9062 在 XML-RPC API 中發表中繼資料值處理不當。CVE-2017-9063 自訂程式中存在跨網站指令碼 (XSS) 弱點。CVE-2017-9064 檔案系統認證對話方塊中存在跨網站要求偽造 (CSRF) 弱點。CVE-2017-9065 XML-RPC API 中缺少發表中繼資料的功能檢查。針對 Debian 7「Wheezy」，這些問題已在 3.6.1+dfsg-1~deb7u15 版本中修正。建議您升級 wordpress 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 WordPress 4.7.5之前的版本中檔案系統認證對話方塊中有一個跨網站要求偽造 (CSRF) 弱點這是因為更新認證不需要 nonce 所致。 (CVE-2017-9064)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

已发现 Wordpress（一个 Web 博客工具）中存在多个漏洞。通用漏洞和暴露计划识别以下问题。CVE-2017-8295 潜在的未经授权密码重置漏洞。更多信息请参阅：https://exploitbox.io/vuln/WordPress-Exploit-4-7-Unauth-Password-Reset -0day-CVE-2017-8295.html CVE-2017-9061 当有人尝试上传非常大的文件时，存在跨站脚本 (XSS) 漏洞。CVE-2017-9062 未正确处理 XML-RPC API 中的文章元数据值。CVE-2017-9063 定制器中的跨站脚本 (XSS) 漏洞。CVE-2017-9064 文件系统凭据对话框中存在一个跨站请求伪造 (CSRF) 漏洞。CVE-2017-9065 未对 XML-RPC API 中的文章元数据进行功能检查。针对 Debian 7“Wheezy”，这些问题已在版本 3.6.1+dfsg-1~deb7u15 中修复。我们建议您升级 wordpress 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.7.5之前的 WordPress 中文件系统凭据对话框中存在一个跨站请求伪造 (CSRF) 漏洞因为更新凭据不需要临时信息。 (CVE-2017-9064)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
100561	Debian DSA-3870-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/6/1	2021/1/11	high
100602	Debian DLA-975-1 : wordpress security update	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
253866	Linux Distros Unpatched Vulnerability : CVE-2017-9064	Nessus	Misc.	2025/8/24	2025/8/24	high
100298	WordPress < 4.7.5 多個弱點	Nessus	CGI abuses	2017/5/19	2025/5/14	high
100602	Debian DLA-975-1: wordpress セキュリティ更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
253866	Linux Distros のパッチ未適用の脆弱性: CVE-2017-9064	Nessus	Misc.	2025/8/24	2025/8/24	high
100602	Debian DLA-975-1：wordpress 安全性更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
253866	Linux Distros 未修補的弱點：CVE-2017-9064	Nessus	Misc.	2025/8/24	2025/8/24	high
100602	Debian DLA-975-1：wordpress - 安全更新	Nessus	Debian Local Security Checks	2017/6/5	2021/1/11	high
253866	Linux Distros 未修补的漏洞：CVE-2017-9064	Nessus	Misc.	2025/8/24	2025/8/24	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high