According to its self-reported version number, MediaElement.js is prior to 2.21.1. Therefore, it may be affected by a cross-site scripting vulnerability in flashmediaelement.swf.

Note that the scanner has not tested for these issues but has instead relied only on the application's self-reported version number.

根据其自我报告的版本号，MediaElement.js 的版本为 2.21.1 之前的版本。因此，它可能受到 flashmediaelement.swf 中跨站脚本漏洞的影响。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

根據應用程式自我報告的版本號， MediaElement.js 的版本低於 2.21.1。因此，它會受到 flashmediaelement.swf 中的跨網站指令碼弱點影響。

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

自己報告されたバージョン番号によると、MediaElement.js は 2.21.1 より前です。したがって、flashmediaelement.swf でクロスサイトスクリプティングの脆弱性による影響を受ける可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Versions of WordPress prior to 4.5.2 are affected by multiple vulnerabilities :

 - A flaw exists that is triggered when using the 'ephemeral' pseudo protocol, which may allow a context-dependent attacker to delete arbitrary files.
 - A flaw exists in the 'ms' pseudo protocol that is triggered when moving image files. This may allow a context-dependent attacker to move arbitrary files to arbitrary locations.
 - A flaw exists in the 'label' pseudo protocol that is triggered during the handling of a specially crafted image. This may allow a context-dependent attacker to read arbitrary files.
 - A flaw known as 'ImageTragick' is triggered as shell characters are not properly filtered in filenames passed to delegate commands. This may allow a context-dependent attacker to inject arbitrary shell commands and subsequently execute arbitrary code.
 - 'MediaElement.js' contains a flaw that allows a reflected cross-site scripting (XSS) attack. The program does not validate input before returning it to users. This may allow a context-dependent attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between their browser and the server.
 - Plupload contains an unspecified same-origin method execution flaw. No further details have been provided.

Helen Hou-Sandi 报告：

WordPress 4.5.2 现在可用。这是所有之前版本的安全版本，强烈建议立即更新您的站点。

WordPress 版本 4.5.1 及较早版本受到一个通过 Plupload（WordPress 用于上传文件的第三方库）造成的 SOME 漏洞影响。WordPress 版本 4.2 到 4.5.1 受到使用特别构建的 URI 造成的反射型 XSS 漏洞影响，其是通过用于媒体播放器的第三方库 MediaElement.js 触发。
MediaElement.js 和 Plupload 也已发布更新，可修复这些问题。

根据其自我报告的版本号，远程 Web 服务器上运行的 WordPress 应用程序低于版本 4.5.2。
因此，该应用程序受到以下漏洞的影响：

  - ImageMagick 库中存在一个远程代码执行漏洞（称为 ImageTragick），这是因为无法正确筛选传递至委派命令的文件名中的 shell 字符所导致。远程攻击者可利用此漏洞通过特别构建的图像注入 shell 命令并执行任意代码。
    (CVE-2016-3714)

  - ImageMagick 库的“临时”伪协议中存在一个不明缺陷，允许攻击者删除任意文件。(CVE-2016-3715)

  - ImageMagick 库的“ms”伪协议中存在一个不明缺陷，允许攻击者将任意文件移至任意位置。(CVE-2016-3716)

  - ImageMagick 库的“标签”伪协议中存在一个不明缺陷，允许攻击者通过特别构建的图像读取任意文件。
    (CVE-2016-3717)

  - 由于与用户与服务器之间的请求处理相关的不明缺陷，存在一个服务器端请求伪造 (SSRF) 漏洞。远程攻击者可利用此问题，通过具有特别构建的填充元素的 MVG 文件，绕过访问限制并发动基于主机的攻击。
    (CVE-2016-3718)

  - Plupload 中存在一个不明缺陷，允许攻击者执行同源方法。
    (CVE-2016-4566)

  - MediaElement.js 中存在一个反射型跨站脚本漏洞，这是因不当验证用户提供的输入所导致。上下文有关的攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2016-4567)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 2.21.0之前的 WordPress 所使用的 4.5.2之前的 MediaElement.js 中flash/FlashMediaElement.as 的跨網站指令碼 (XSS) 弱點允許遠端攻擊者透過 jsinitfunction 參數的模糊形式插入任意 Web 指令碼或 HTML jsinitfunctio%gn 即為一例。 (CVE-2016-4567)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 2.21.0之前版本的 MediaElement.js 中 flash/FlashMediaElement.as 中的跨站脚本 (XSS) 漏洞在 4.5.2之前版本的 WordPress 中使用时允许远程攻击者通过 jsinitfunction 参数的混淆形式注入任意 Web 脚本或 HTML。如 jsinitfunctio%gn 所示。 (CVE-2016-4567)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Helen Hou-Sandi 報告：

現已提供 WordPress 4.5.2。這是適用於所有先前版本的安全性版本，我們強烈建議您立即更新網站。

WordPress 4.5.1 版及更舊版本受到一個透過 Plupload (WordPress 用於上傳檔案的第三方程式庫) 造成的 SOME 弱點影響。WordPress 4.2 到 4.5.1 版受到使用特製 URI 造成的反射式 XSS 弱點影響，其是透過用於媒體播放程式的第三方程式庫 MediaElement.js 觸發。
MediaElement.js 和 Plupload 也已發佈更新，可修正這些問題。

根據其自我報告的版本號碼，遠端 Web 伺服器上執行的 WordPress 應用程式版本比 4.5.2 舊。
因此，該應用程式受到以下弱點影響：

  - ImageMagick 程式庫中存在一個遠端程式碼執行弱點 (稱為 ImageTragick)，這是因為無法正確篩選傳遞至委派命令之檔案名稱中的 shell 字元所導致。遠端攻擊者可惡意利用此弱點，透過特製的影像插入 shell 命令及執行任意程式碼。
    (CVE-2016-3714)

  - ImageMagick 程式庫的「暫時」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者刪除任意檔案。(CVE-2016-3715)

  - ImageMagick 程式庫的「ms」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者將任意檔案移至任意位置。(CVE-2016-3716)

  - ImageMagick 程式庫的「標籤」虛擬通訊協定中存在一個不明缺陷，會允許攻擊者透過特製影像讀取任意檔案。
    (CVE-2016-3717)

  - 存在一個伺服器端要求偽造 (SSRF) 弱點，這是因一個與使用者和伺服器之間的要求處理相關的不明缺陷所致。遠端攻擊者可惡意利用此問題，透過具有特製填滿元素的 MVG 檔案，繞過存取限制並發動主機型攻擊。
    (CVE-2016-3718)

  - Plupload 中存在一個不明缺陷，會允許攻擊者執行同源方法執行。
    (CVE-2016-4566)

  - MediaElement.js 中存在一個反映式跨網站指令碼弱點，是因不當驗證使用者提供的輸入所導致。內容相依的攻擊者可惡意利用此弱點，透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2016-4567)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Helen Hou-Sandi 氏による報告：

WordPress 4.5.2 が現在利用可能です。これは前のバージョンすべてのセキュリティリリースであり、弊社はユーザーが自分のサイトをすぐに更新することを強く推奨します。

WordPress バージョン 4.5.1 以前は、Plupload を通じて SOME の脆弱性の影響を受けます。Plupload は、WordPress がファイルのアップロードに使用するサードパーティのライブラリです。WordPress バージョン 4.2 から 4.5.1 は、MediaElement.js を通じて特別に細工された　URL を使用する折り返し型 XSS に脆弱です。MediaElement.js は、Media Player に使用されるサードパーティのライブラリです。
MediaElement.js と Plupload は、これらの問題を修正する更新もリリースしました。

自己報告されたバージョン番号によると、リモート Web サーバーで実行されている WordPress アプリケーションは、4.5.2 より前のものです。
したがって、次の脆弱性の影響を受けます: 

  - コマンドを委任するために渡されるファイル名で、シェル文字を適切にフィルターすることに失敗するため、ImageMagick ライブラリに、ImageTragick として知られているリモートコードの実行の脆弱性が存在します。リモートの攻撃者はこれを悪用して、特別に細工された画像を通じて、シェルコマンドを注入する可能性や、任意のコードを実行する可能性があります。
    (CVE-2016-3714)

  - ImageMagick ライブラリに「ephemeral」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が任意のファイルを削除する可能性があります。(CVE-2016-3715)

  - ImageMagick ライブラリに「ms」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が任意のファイルを任意の場所に移動する可能性があります。(CVE-2016-3716)

  - ImageMagick ライブラリに「label」疑似プロトコルでの詳細不明な欠陥が存在するため、攻撃者が特別に細工された画像を通じて、任意のファイルを読み取る可能性があります。
    (CVE-2016-3717)

  - ユーザーとサーバー間のリクエスト処理に関連する詳細不明な欠陥があるため、サーバーサイドのリクエスト偽装（SSRF）の脆弱性が存在します。リモートの攻撃者はこれを悪用して、特別に細工された充填要素がある MVG ファイルを通じて、アクセス制限をバイパスする可能性や、ホストベースの攻撃を仕掛ける可能性があります。
    (CVE-2016-3718)

  - Plupload に詳細不明な欠陥が存在するため、攻撃者が同一生成元メソッドを実行する可能性があります。
    (CVE-2016-4566)

  - ユーザー指定の入力を不適切に検証しているため、MediaElement.js に、折り返し型クロスサイトスクリプティングの脆弱性が存在します。コンテキスト依存の攻撃者はこれを悪用して、特別に細工されたリクエストを介して、ユーザーのブラウザセッションで任意のスクリプトコードを実行する可能性があります。（CVE-2016-4567）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 2.21.0より前の WordPress で使用される 4.5.2より前の MediaElement.js の flash/FlashMediaElement.as におけるクロスサイトスクリプティングXSSの脆弱性により、リモートの攻撃者が、jsinitfunction パラメーターの難読化されたフォームを通じて、任意の Web スクリプトまたは HTML を注入することが可能です。 jsinitfunctio%gn によって実証されています。CVE-2016-4567

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Cross-site scripting (XSS) vulnerability in flash/FlashMediaElement.as in MediaElement.js before 2.21.0,     as used in WordPress before 4.5.2, allows remote attackers to inject arbitrary web script or HTML via an     obfuscated form of the jsinitfunction parameter, as demonstrated by jsinitfunctio%gn. (CVE-2016-4567)

Note that Nessus relies on the presence of the package as reported by the vendor.

Helen Hou-Sandi reports :

WordPress 4.5.2 is now available. This is a security release for all previous versions and we strongly encourage you to update your sites immediately.

WordPress versions 4.5.1 and earlier are affected by a SOME vulnerability through Plupload, the third-party library WordPress uses for uploading files. WordPress versions 4.2 through 4.5.1 are vulnerable to reflected XSS using specially crafted URIs through MediaElement.js, the third-party library used for media players.
MediaElement.js and Plupload have also released updates fixing these issues.

According to its self-reported version number, the WordPress application running on the remote web server is prior to 4.5.2.
It is, therefore, affected by the following vulnerabilities :

  - A remote code execution vulnerability, known as     ImageTragick, exists in the ImageMagick library due to a     failure to properly filter shell characters in filenames     passed to delegate commands. A remote attacker can     exploit this, via specially crafted images, to inject     shell commands and execute arbitrary code.
    (CVE-2016-3714)

  - An unspecified flaw exists in the ImageMagick library in     the 'ephemeral' pseudo protocol that allows an attacker     to delete arbitrary files. (CVE-2016-3715)

  - An unspecified flaw exists in the ImageMagick library in     the 'ms' pseudo protocol that allows an attacker to move     arbitrary files to arbitrary locations. (CVE-2016-3716)

  - An unspecified flaw exists in the ImageMagick library in     the 'label' pseudo protocol that allows an attacker, via     a specially crafted image, to read arbitrary files.
    (CVE-2016-3717)

  - A server-side request forgery (SSRF) vulnerability     exists due to an unspecified flaw related to request     handling between a user and the server. A remote     attacker can exploit this, via an MVG file with a     specially crafted fill element, to bypass access     restrictions and conduct host-based attacks.
    (CVE-2016-3718)

  - An unspecified flaw exists in Plupload that allows an     attacker to perform a same-origin method execution.
    (CVE-2016-4566)

  - A reflected cross-site scripting vulnerability exists in     MediaElement.js due to improper validation of     user-supplied input. A context-dependent attacker can     exploit this, via a specially crafted request, to     execute arbitrary script code in a user's browser     session. (CVE-2016-4567)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112556	MediaElement.js < 2.21.1 Cross-Site Scripting	Web App Scanning	Component Vulnerability	2019/2/18	2023/3/14	medium
112556	MediaElement.js < 2.21.1 跨站脚本	Web App Scanning	Component Vulnerability	2019/2/18	2023/3/14	medium
112556	MediaElement.js < 2.21.1 跨網站指令碼	Web App Scanning	Component Vulnerability	2019/2/18	2023/3/14	medium
112556	MediaElement.js < 2.21.1 のクロスサイトスクリプティング	Web App Scanning	Component Vulnerability	2019/2/18	2023/3/14	medium
9387	WordPress < 4.5.2 Multiple Vulnerabilities (ImageTragick)	Nessus Network Monitor	CGI	2016/7/7	2019/3/6	medium
91027	FreeBSD：wordpress -- 多种漏洞 (3686917b-164d-11e6-94fa-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	WordPress < 4.5.2 多种漏洞 (ImageTragick)	Nessus	CGI abuses	2016/5/12	2025/5/14	high
254921	Linux Distros 未修補的弱點：CVE-2016-4567	Nessus	Misc.	2025/8/25	2026/1/30	medium
254921	Linux Distros 未修补的漏洞：CVE-2016-4567	Nessus	Misc.	2025/8/25	2026/1/30	medium
91027	FreeBSD：wordpress -- 多個弱點 (3686917b-164d-11e6-94fa-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	WordPress < 4.5.2 多個弱點 (ImageTragick)	Nessus	CGI abuses	2016/5/12	2025/5/14	high
91027	FreeBSD：wordpress -- 複数の脆弱性（3686917b-164d-11e6-94fa-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	4.5.2 より前の WordPress の複数の脆弱性（ImageTragick）	Nessus	CGI abuses	2016/5/12	2025/5/14	high
254921	Linux Distros のパッチ未適用の脆弱性: CVE-2016-4567	Nessus	Misc.	2025/8/25	2026/1/30	medium
254921	Linux Distros Unpatched Vulnerability : CVE-2016-4567	Nessus	Misc.	2025/8/25	2026/1/30	medium
91027	FreeBSD : wordpress -- multiple vulnerabilities (3686917b-164d-11e6-94fa-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/5/11	2021/1/4	medium
91101	WordPress < 4.5.2 Multiple Vulnerabilities (ImageTragick)	Nessus	CGI abuses	2016/5/12	2025/5/14	high

检测

插件搜索

medium

medium

medium

medium

medium

medium

high

medium

medium

medium

high

medium

high

medium

medium

medium

high