WordPress 版本 7.0.0 < 7.0.4 会受到一个或多个漏洞影响

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - WordPress 容易受到作者级别或更高级别用户通过恶意 Postscript 文件上传导致的远程代码执行漏洞的影响。先决条件：* 服务器上正在使用 Imagick 和 Ghostscript * 具有“upload_files”能力的恶意用户 此问题会影响所有版本的 WordPress。已发布包含漏洞补丁的版本 7.0.4 ，并且出于对旧版分支用户的好意，该补丁已向后移植到所有分支，并返回 4.7.（CVE-2026-65640）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-dc0ff85b8b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## WordPress 6.9.7 リリース

    **このリリースに含まれるセキュリティ更新**

    - Imagick および Ghostscript を使用するサイトでの悪意のあるファイルアップロードによる、認証済みの Author+ リモートコード実行。**CVE-2026-65640**


    ----

    ## WordPress 6.9.6 リリース

    **このリリースに含まれるセキュリティ更新**


    - PHPコード実行につながる可能性があるログイン画面の事前認証折り返し型クロスサイトスクリプティング(XSS)が pwn.ai チームにより報告されました。**CVE-2026-64638**
    - Contributor+ Asaf Mozes 氏による絵文字設定要素を通じた投稿の蓄積型クロスサイトスクリプティング(XSS)(amosec)
    - 投稿コンテンツブロックにおける Contributor+ 蓄積型クロスサイトスクリプティング(XSS) n05ec により報告
    - Contributor+ 多数のユーザーがいるサイトの Quick Edit でクロスサイトスクリプティング(XSS)を保存しました。Naveen S 氏および Ajmal Moochingal 氏により報告されました
    - 投稿日ブロックの Contributor+ 蓄積型クロスサイトスクリプティング(XSS)を WordPress セキュリティチームの Alex Concha 氏が報告しました
    - ユーザー登録が有効なマルチサイトネットワークの権限昇格の問題。これにより、ユーザーが新しいサイトを作成する可能性があります。Aikido Security により報告されました
    - パスワードで保護された投稿へのコメントの漏洩に関する最新のコメントブロックの情報漏洩の問題を、WordPress セキュリティチームの Ehtisham Siddiqui 氏が報告しました
    - HDWSec により報告されたポストスラッグの列挙
    - Elio Gubser 氏により報告されたコメントフィードにおける注記の漏洩
    - Author+ Anthropic により報告された安全な CSS 属性フィルターのバイパスによる CSS インジェクション
    - 0ways が報告するメールアドレス確認フローのバイパス
    - URL 検証におけるサーバーサイドリクエスト偽造(SSRF)の問題により、リンクローカル範囲へのリクエストが許可されます。Andrew Mohawk 氏と複数の独立した報告者により報告されました



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 13ホストには、dsa-6525アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6525-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 9 月 28 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ:wordpress CVE ID: CVE-2026-65640 CVE-2026-87902 CVE-2026-93485 Debianバグ:1144955 1148368 1148743

    Web ブログツールである wordpress で、複数の脆弱性が発見されました。これにより、クロスサイトスクリプティング、権限昇格、またはリモートコードの実行が引き起こされる可能性があります。

    安定版(stable)ディストリビューション(trixie)では、これらの問題はバージョン 6.8.10+dfsg1-0+deb13u1 で修正されています。

    お使いのwordpressパッケージをアップグレードすることを推奨します。

    wordpressの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/wordpress

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-61704c09ea のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ## WordPress 6.9.7 リリース

    **このリリースに含まれるセキュリティ更新**

    - Imagick および Ghostscript を使用するサイトでの悪意のあるファイルアップロードによる、認証済みの Author+ リモートコード実行。**CVE-2026-65640**


    ----

    ## WordPress 6.9.6 リリース

    **このリリースに含まれるセキュリティ更新**


    - PHPコード実行につながる可能性があるログイン画面の事前認証折り返し型クロスサイトスクリプティング(XSS)が pwn.ai チームにより報告されました。**CVE-2026-64638**
    - Contributor+ Asaf Mozes 氏による絵文字設定要素を通じた投稿の蓄積型クロスサイトスクリプティング(XSS)(amosec)
    - 投稿コンテンツブロックにおける Contributor+ 蓄積型クロスサイトスクリプティング(XSS) n05ec により報告
    - Contributor+ 多数のユーザーがいるサイトの Quick Edit でクロスサイトスクリプティング(XSS)を保存しました。Naveen S 氏および Ajmal Moochingal 氏により報告されました
    - 投稿日ブロックの Contributor+ 蓄積型クロスサイトスクリプティング(XSS)を WordPress セキュリティチームの Alex Concha 氏が報告しました
    - ユーザー登録が有効なマルチサイトネットワークの権限昇格の問題。これにより、ユーザーが新しいサイトを作成する可能性があります。Aikido Security により報告されました
    - パスワードで保護された投稿へのコメントの漏洩に関する最新のコメントブロックの情報漏洩の問題を、WordPress セキュリティチームの Ehtisham Siddiqui 氏が報告しました
    - HDWSec により報告されたポストスラッグの列挙
    - Elio Gubser 氏により報告されたコメントフィードにおける注記の漏洩
    - Author+ Anthropic により報告された安全な CSS 属性フィルターのバイパスによる CSS インジェクション
    - 0ways が報告するメールアドレス確認フローのバイパス
    - URL 検証におけるサーバーサイドリクエスト偽造(SSRF)の問題により、リンクローカル範囲へのリクエストが許可されます。Andrew Mohawk 氏と複数の独立した報告者により報告されました



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

WordPress バージョン 7.0.0 < 7.0.4 は 1 つ以上の脆弱性の影響を受けます

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - WordPress は、オーサーレベル以上のユーザーによる悪意のある PostScript ファイルアップロードによる、リモートコードの実行の脆弱性に対して脆弱です。前提条件:* サーバーで使用中のImagickおよびGhostscript * 「upload_files」機能を持つ悪意のあるユーザー この問題は、WordPressのすべてのバージョンに影響します。脆弱性の修正を含むバージョン 7.0.4 がリリースされました。古いブランチのユーザーへの礼儀として、修正は 4.7 に戻されたすべてのブランチにバックポートされました。(CVE-2026-65640)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-dc0ff85b8b advisory.

    ## WordPress 6.9.7 Release

    **Security update included in this release**

    - Authenticated Author+ remote code execution via malicious file upload on sites that use Imagick and     Ghostscript. **CVE-2026-65640**


    ----

    ## WordPress 6.9.6 Release

    **Security update included in this release**


    -    Pre-auth reflected cross-site scripting (XSS) on the login screen with potential to lead to PHP code     execution reported by the team at pwn.ai. **CVE-2026-64638**
    -    Contributor+ stored cross-site scripting (XSS) in posts via the emoji settings element reported by     Asaf Mozes (amosec)
    -    Contributor+ stored cross-site scripting (XSS) in the Post Content block reported by n05ec
    -    Contributor+ stored cross-site scripting (XSS) in Quick Edit on sites with a large number of users     reported by Naveen S and Ajmal Moochingal
    -    Contributor+ stored cross-site scripting (XSS) in the Post Date block reported by Alex Concha of the     WordPress Security Team
    -    A privilege escalation issue on multisite networks with user registration enabled, allowing a user to     create a new site reported by Aikido Security
    -    An information disclosure issue in the Latest Comments block exposing comments on password-protected     posts reported by Ehtisham Siddiqui of the WordPress Security Team
    -    Enumeration of post slugs reported by HDWSec
    -    Disclosure of notes in comment feeds reported by Elio Gubser
    -    Author+ CSS injection via a bypass of the safe CSS attribute filter reported by Anthropic
    -    Bypass of the email address confirmation flow reported by 0ways
    -    A server-side request forgery (SSRF) issue in URL validation allowing requests to link-local ranges     reported by Andrew Mohawk and multiple independent reporters



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Debian 13 host has packages installed that are affected by multiple vulnerabilities as referenced in the dsa-6525 advisory.

    - -------------------------------------------------------------------------     Debian Security Advisory DSA-6525-1                   security@debian.org     https://www.debian.org/security/                     Salvatore Bonaccorso     September 28, 2026                    https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    Package        : wordpress     CVE ID         : CVE-2026-65640 CVE-2026-87902 CVE-2026-93485     Debian Bug     : 1144955 1148368 1148743

    Several vulnerabilities were discovered in wordpress, a web blogging     tool, which could result in cross-site scripting, privilege escalation     or remote code execution.

    For the stable distribution (trixie), these problems have been fixed in     version 6.8.10+dfsg1-0+deb13u1.

    We recommend that you upgrade your wordpress packages.

    For the detailed security status of wordpress please refer to its     security tracker page at:
    https://security-tracker.debian.org/tracker/wordpress

    Further information about Debian Security Advisories, how to apply     these updates to your system and frequently asked questions can be     found at: https://www.debian.org/security/

    Mailing list: debian-security-announce@lists.debian.org

Tenable has extracted the preceding description block directly from the Debian security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-61704c09ea advisory.

    ## WordPress 6.9.7 Release

    **Security update included in this release**

    - Authenticated Author+ remote code execution via malicious file upload on sites that use Imagick and     Ghostscript. **CVE-2026-65640**


    ----

    ## WordPress 6.9.6 Release

    **Security update included in this release**


    -    Pre-auth reflected cross-site scripting (XSS) on the login screen with potential to lead to PHP code     execution reported by the team at pwn.ai. **CVE-2026-64638**
    -    Contributor+ stored cross-site scripting (XSS) in posts via the emoji settings element reported by     Asaf Mozes (amosec)
    -    Contributor+ stored cross-site scripting (XSS) in the Post Content block reported by n05ec
    -    Contributor+ stored cross-site scripting (XSS) in Quick Edit on sites with a large number of users     reported by Naveen S and Ajmal Moochingal
    -    Contributor+ stored cross-site scripting (XSS) in the Post Date block reported by Alex Concha of the     WordPress Security Team
    -    A privilege escalation issue on multisite networks with user registration enabled, allowing a user to     create a new site reported by Aikido Security
    -    An information disclosure issue in the Latest Comments block exposing comments on password-protected     posts reported by Ehtisham Siddiqui of the WordPress Security Team
    -    Enumeration of post slugs reported by HDWSec
    -    Disclosure of notes in comment feeds reported by Elio Gubser
    -    Author+ CSS injection via a bypass of the safe CSS attribute filter reported by Anthropic
    -    Bypass of the email address confirmation flow reported by 0ways
    -    A server-side request forgery (SSRF) issue in URL validation allowing requests to link-local ranges     reported by Andrew Mohawk and multiple independent reporters



Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

WordPress versions 7.0.0 < 7.0.4 are affected by one or more vulnerabilities

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - WordPress is vulnerable to a remote code execution vulnerability via malicious Postscript file upload by     an Author level user or higher. Prerequisites: * Imagick and Ghostscript in use on the server * A     malicious user with the `upload_files` capability This issue affects all versions of WordPress. Version     7.0.4 has been released, containing a fix for the vulnerability, and as a courtesy to users on older     branches the fix has been backported to all branches back to 4.7. (CVE-2026-65640)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
334921	WordPress 7.0.0 < 7.0.4	Nessus	CGI abuses	2026/8/12	2026/8/21	high
338092	Linux Distros 未修补的漏洞：CVE-2026-65640	Nessus	Misc.	2026/8/19	2026/11/3	high
338602	Fedora 44:wordpress(2026-dc0ff85b8b)	Nessus	Fedora Local Security Checks	2026/8/21	2026/8/21	high
350954	Debian DSA-6525:wordpress - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/29	2026/10/19	high
338623	Fedora 43:wordpress(2026-61704c09ea)	Nessus	Fedora Local Security Checks	2026/8/21	2026/8/21	high
334921	WordPress 7.0.0 < 7.0.4	Nessus	CGI abuses	2026/8/12	2026/8/21	high
338092	Linux Distros のパッチ未適用の脆弱性: CVE-2026-65640	Nessus	Misc.	2026/8/19	2026/11/3	high
338602	Fedora 44 : wordpress (2026-dc0ff85b8b)	Nessus	Fedora Local Security Checks	2026/8/21	2026/8/21	high
350954	Debian dsa-6525 : wordpress - security update	Nessus	Debian Local Security Checks	2026/9/29	2026/10/19	high
338623	Fedora 43 : wordpress (2026-61704c09ea)	Nessus	Fedora Local Security Checks	2026/8/21	2026/8/21	high
334921	WordPress 7.0.0 < 7.0.4	Nessus	CGI abuses	2026/8/12	2026/8/21	high
338092	Linux Distros Unpatched Vulnerability : CVE-2026-65640	Nessus	Misc.	2026/8/19	2026/11/3	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high